96社の企業名が暗網に出現　専門家が高優先度のセキュリティ点検を呼びかけ

最近、国内96社の企業を含む「Internet Access」名簿がネット上で流布しているとの情報があり、FortiBleed関連の攻撃事件との関連が噂され、企業のネットワーク機器のセキュリティやアカウント情報の漏洩、内部システムへの侵入に対する懸念が高まっている。

この件について、30年近いセキュリティ実務経験を持ち、国家の重要インフラや企業のセキュリティ防御に携わってきたセキュリティ専門家、張光宏博士は、暗網に企業名やドメインが現れても、直ちにシステムがハッキングされたとは限らないと指摘する。ただし、関連情報を高優先度のリスクシグナルと捉え、速やかに資産の棚卸しとセキュリティ点検を開始すべきだと呼びかけている。

張光宏博士によると、技術チームがネット上で流れるファイルをオフラインで構造分析したところ、一部の内容は企業のドメインや規模に関する情報が主に列挙されており、IPアドレス、ログインアカウントやパスワード、セッショントークン、内部ネットワーク画面、データ漏洩サンプルといった、侵入成功を裏付ける技術的証拠は確認されていない。セキュリティ業界の運営モデルから見ると、こうしたデータは「初期アクセス仲介業者」が潜在的なアクセス権限の販売や展示を目的としたビジネスカタログの可能性があるが、実際に有効な侵入能力を持っているかどうかは、さらなる技術的鑑定と検証が必要である。

彼は、企業名が暗網の情報に現れるのは、過去のドメイン情報、保守記録、あるいは過去のインシデントで残されたデータと関係している可能性があり、企業の内部ネットワークが実際に侵入されたとは限らず、データ漏洩が発生したと断定することもできないと説明している。しかし、関連するドメイン、外部サービス、VPNアカウント、機器のログなどを点検し、異常なログイン、不正アクセス、認証情報の不正使用がないかを確認する必要があると強調している。

一部でこの事件が特定のセキュリティ機器ブランドに集中しているとされていることについて、張光宏博士は、全体的なセキュリティアーキテクチャと管理体制に立ち返るべきだと述べている。ファイアウォール、VPN、ロードバランサー、ルーターなどの境界機器は、常に公開ネットワークにさらされており、自動スキャン、ブルートフォース攻撃、認証情報攻撃の標的になりやすい。どのセキュリティ製品にもソフトウェアの脆弱性、未知のゼロデイ脆弱性、設定ミスなどのリスクがあり、単一の事件をもって特定の製品やブランドを否定するのは適切ではない。

張光宏博士は、企業のセキュリティインシデントは、古い設定ファイルの漏洩、多要素認証（MFA）の未導入、デフォルトアカウントの無効化漏れ、長期間更新されていないパスワード、管理インターフェースが外部ネットに直接露出しているなどの「セキュリティ衛生」の問題と関係している可能性があると指摘している。企業は脆弱性の継続的なパッチ適用に加え、アカウントと認証情報の管理体制を構築し、単一の境界防御からゼロトラストや多層防御アーキテクチャへと段階的に移行すべきだと提言している。

彼は、企業が暗網の情報に対してパニックになるべきではなく、また警告を無視すべきでもないと強調している。資産の棚卸し、ログ分析、脆弱性の修復、継続的な監視を通じてリスクを客観的に評価し、脅威インテリジェンスと連携防御メカニズムを組み合わせることで、全体的なデジタル防御のレジリエンスを高めるべきだと述べている。