ゆめさくセキュリティ

2013年12月12日に発覚、海外、総合小売

Target 大規模カード情報漏洩

空調の委託業者から盗んだ認証情報で侵入され、検知システムの警報を見落とし続けた

何があったか

2013年11月、Targetの店舗のPOS端末にカード情報を盗むマルウェアが仕込まれた。米上院商務委員会の報告書によれば、攻撃者はまずペンシルベニア州の空調工事業者Fazio Mechanical Servicesにフィッシングメールを送り、同社がTargetの請求や発注のために使っていたAribaという外部システムの認証情報を手に入れた。この窓口はTargetの社内ネットワークから十分に切り離されておらず、攻撃者はそこを足がかりに、POS端末のある最も重要な領域まで内部を移動した。11月30日までにPOS端末の大半にマルウェアが入り、同じ頃データを外へ送り出すための別のマルウェアも社内サーバーに置かれた。

Targetが導入していたFireEyeの検知システムはマルウェアの設置のたびに警報を出し、自動で削除する設定も用意されていたが、Targetのセキュリティチームは警報に対応せず、自動削除も有効にしていなかった。攻撃者は12月2日からロシアにあるサーバーへ平文のFTPで二週間かけてデータを持ち出した。Targetは2013年12月12日に司法省から連絡を受けて初めて侵害に気づき、12月19日に4000万件のカード情報が流出したと公表した。2014年1月10日には、氏名や住所などさらに7000万件分の個人情報も盗まれていたと明らかにした。

入口
空調工事の委託業者Fazio Mechanical Servicesの担当者がフィッシングメールの標的になり、Targetの外部システムAribaに接続するための認証情報が盗まれた
決め手の失敗
委託業者向けの外部システムが社内ネットワークから十分に分離されておらず、低レベルの委託業者には二要素認証も求めていなかった。FireEyeの検知システムが繰り返し出した警報にセキュリティチームが対応せず、自動削除の機能も使っていなかった
被害
最大で4000万件のクレジットカードおよびデビットカード情報と、氏名や住所などの個人情報7000万件、合わせて最大1億1000万人分の顧客情報が流出した

攻撃の流れ

  1. 入口空調工事の委託業者Fazio Mechanical Servicesにフィッシングメールが送られ、Targetの外部システムAribaに接続する認証情報が盗まれた
  2. 侵入盗んだ認証情報でAribaに接続し、そこから社内ネットワークのより重要な領域へ移動した。報告書はBMC Software製品の既定のアカウント名が悪用された可能性を指摘している
  3. 権限の奪取11月30日までにPOS端末の大半にカード情報を読み取るマルウェア(RAMスクレイピング)を設置し、データを外へ送るための別のマルウェアも社内サーバーに置いた
  4. 検知の見落としFireEyeの検知システムがマルウェアの設置のたびに警報を出したが、セキュリティチームは対応せず、自動削除の設定も有効にしていなかった
  5. 持ち出し12月2日から約2週間、盗んだカード情報をロシアのサーバーへ平文のFTPで送り続け、最終的に最大1億1000万人分の情報が流出した

数字で見る

  • 最大4000万件 流出したクレジット・デビットカード情報[1]
  • 最大7000万件 流出した氏名・住所などの個人情報[1]
  • 最大1億1000万人 影響を受けた顧客の合計[1]
  • 約2週間 データの持ち出しにかけた期間[1] 12月2日から公表直前までの期間として報告書に記載

気づいたきっかけ

Targetは2013年12月12日に米司法省から連絡を受けて初めて侵害に気づいたと議会で証言した。社内のFireEyeやSymantecの検知システムは11月末から12月初めにかけて不審な挙動を検知していたが、社内で対応されていなかった

対応と復旧

Targetは侵害の公表後、検出されたマルウェアの大半を除去したと報告書は記す。報告書は公開情報の時点でのまとめであり、Target自身によるその後の全容調査の内容は含まれていない

自分のサービスで確かめること

  • 委託業者向けの外部接続システムが社内の重要なデータ領域からきちんと分離されているか確かめる
  • 委託業者を含む外部からのアクセスに二要素認証を求めているか確かめる
  • 検知システムの警報を誰が見て、どう対応するかの体制と手順があるか確かめる
  • 社内ネットワークから外部への通信を、許可した宛先だけに絞れているか確かめる
  • 既定のアカウント名やパスワードが外部からアクセス可能なシステムに残っていないか棚卸しする

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

時系列

  1. 2013年
  2. 11月 侵入 空調工事の委託業者Fazio Mechanical Servicesから盗んだ認証情報で、攻撃者が社内ネットワークに入ったとみられる[1]
  3. 11月30日 侵入 POS端末の大半にカード情報を盗むマルウェアの設置が完了した[1]
  4. 12月2日 侵入 データを外部へ送るマルウェアが社内サーバーに設置され、ロシアのサーバーへの持ち出しが始まった[1]
  5. 12月12日 発覚 米司法省から連絡を受け、Targetが侵害に気づいた[1]
  6. 12月19日 公表 最大4000万件のカード情報が流出したと公表した[1]
  7. 2014年
  8. 1月10日 公表 氏名や住所など最大7000万件の個人情報も流出していたと公表した[1]

攻撃した側について

上院商務委員会の報告書の時点で攻撃者の身元は公的機関によって明らかにされておらず、本報告書も公開された報道や専門家の分析をもとにまとめたものであることを明記している

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. A "Kill Chain" Analysis of the 2013 Target Data Breach (Majority Staff Report for Chairman Rockefeller) US Senate Committee on Commerce, Science, and Transportation、2014年3月26日、議会の資料