波紋を広げる、Uberへの攻撃【後編】

Uberへの不正侵入犯が愛用していたロシア発の“あのツール”とは？

Uber Technologiesが「AWS」「GCP」といったクラウドサービスで運用するシステムに、攻撃者が入り込んだことが明らかになった。なぜ、そのようなことができたのか。攻撃者の行動を追う。

公開 2022年11月08日 08時15分

[TechTarget]

印刷する連載新着通知を受け取る

　2022年9月中旬、攻撃者によって社内ネットワークが侵害されたUber Technologies（以下、Uber）。同社は2022年9月19日（米国時間、以下同じ）、南米を拠点に活動するサイバー犯罪グループ「Lapsus$」（ラプサス）に所属するとみられる人物による攻撃だったことを、正式に認めた。攻撃者の発言や共有したスクリーンショットを基に、今回の攻撃の詳細を見よう。

明らかになった攻撃者の行動　ロシア発の“あのツール”を駆使か

併せて読みたいお薦め記事

連載：波紋を広げる、Uberへの攻撃

前編：犯人はまさかの18歳　若者はUberに「なぜ」「どうやって」侵入したのか

著名企業への攻撃が活発だ

　2022年9月16日、非代替性トークン（NFT：代替不可能であることが保証されたトークン）を制作するYuga Labsのセキュリティエンジニア、サム・カリー氏は、短文投稿サイト「Twitter」で、ある報告をした。攻撃者が、クラウドサービス「Amazon Web Services」（AWS）と「Google Cloud Platform」（GCP）における、Uberアカウントの管理者権限を有していることを示すスクリーンショットを共有した、という内容だ。

　同日、セキュリティベンダーZellicでビジネス開発責任者を務めるコーベン・レオ氏は、ロシア発のチャットツール「Telegram」で攻撃者と関係者がチャットをしているスクリーンショットを、Twitterに公開した。レオ氏によれば、チャットはバグ報奨金制度（バグの報告に報奨金を支払う制度）のための仕組みを運営するHackerOneから入手した。HackerOneのポータルサイトでは、Uberへの攻撃が宣言されていた。

　Telegramのチャットでは、攻撃者はUberの従業員の認証情報を使ってUberのVPN（仮想プライベートネットワーク）にログインし、イントラネットに侵入したと語っている。攻撃者はDelineaの特権アクセス管理（PAM）ツールの認証情報を含む、コマンド実行ツール「PowerShell」のスクリプトを手に入れ、Uberの管理者権限でAWSにアクセスしたとみられる。

　Uberは以前にも攻撃を受けたことがある。2016年、攻撃者がソースコード共有サービス「GitHub」の認証情報を盗み、Uberの社内ネットワークに侵入したのがそれだ。Uberの幹部は攻撃をバグ報奨金プログラムの一環だと説明し、攻撃を受けたことを隠そうとした。当時UberのCEO（最高経営責任者）だったトラビス・カラニック氏は退任した。CSO（最高戦略責任者）だったジョー・サリバン氏は、2020年に司法妨害と犯罪行為の隠蔽（いんぺい）の罪で起訴された。サリバン氏の裁判は2022年9月に始まった。