Microsoftに問う「安全対策とは何か」【前編】

誰もがぞっとする「Microsoftアカウント」の侵害はなぜ起きたのか

中国系サイバー犯罪集団が「Microsoft account」のコンシューマーキーを悪用し、米国政府機関から情報を盗み出したとみられる。この攻撃を可能にしたMicrosoftの落ち度とは。

公開 2023年10月10日 05時00分

[TechTarget]

印刷する連載新着通知を受け取る

　Microsoftは2023年7月、中国のサイバー犯罪集団「Storm-0558」が米国の連邦政府機関を含む約25組織のメールアカウントに侵入したことを公表した。Storm-0558はシングルサインオンツール「Microsoftアカウント」（MSA：Microsoft account）のコンシューマーキー（身分証）を不正入手し、標的のメールアカウントに入り込むための認証トークンを偽装したという。Microsoftはこの攻撃についてどう説明しているのか。

Microsoftに“致命的な落ち度”はあったのか

　攻撃が明らかになってからも、MicrosoftはMSAのコンシューマーキーが流出した経緯について詳細な情報を公開せず、同社に批判が集まっていた。この件について、同社はより具体的な情報を2023年9月に公開した。

併せて読みたいお薦め記事

Microsoft製品のセキュリティリスクとは

　Storm-0558による今回の攻撃活動は2023年5月に始まり、約1カ月続いたとみられる。Microsoftは、2021年4月にMSAのコンシューマーキーを管理する同社システムに不正アクセスがあり、コンシューマーキー情報が盗まれたと説明する。その際、コンシューマーキー情報を暗号化する仕組みがうまく機能しなかった他、コンシューマーキー情報が盗まれたことを検知することもできなかったという。同社によると、この2つの問題は修正済みだ。

　米TechTargetの取材に対し、Microsoftは問題の原因が同社システムの脆弱（ぜいじゃく）性ではないと述べた。同社によれば、今回の問題は同社が定義する脆弱性には当てはまらず、むしろ「誤設定」や「誤操作」といった言葉が適切だと説明する。Storm-0558はMSAのコンシューマーキーを盗むために、マルウェアを使って同社エンジニアのアカウントに侵入したという。この侵入の詳しい情報は明らかではない。

　Storm-0558がMSAのコンシューマーキー以外の情報も盗んだかどうかについて、Microsoftはコメントしなかった。

　後編は、Storm-0558の攻撃が発見された経緯を紹介する。