JPCERT/CCが公表した調査結果によると、一連の攻撃は単一の手法に依存するものではない。攻撃者は標的企業のシステムを幅広くスキャンし、多様なソフトウェアに残存する既知の脆弱性を探索して侵入を試みている。加えて、システムの設定不備を突いて環境設定ファイルやバックアップファイルの窃取を狙う事例も確認された。

　特に警戒を要するのが、APIを経由した不正操作だ。一般に公開されているスマートフォン向けアプリケーションを解析してAPIのエンドポイントや認証キーを特定した後、本来画面からは操作できない内部APIに攻撃を仕掛ける手口が報告されている。ヘッダの有無の切り替えや不正な形式の認証トークンを付与してシステムの応答の違いを探る手法、NoSQLインジェクションによるブラインド探索を通じてアカウント情報を特定する手法が存在する。これによって、ユーザー権限の不正な変更や悪意のあるアカウントの新規作成の危険性が高まる。

　BI（ビジネスインテリジェンス）ツールなどのデータ分析ツールや従業員向け管理システムといった、不特定多数の外部からのアクセスを想定していない内部システムも侵害の標的になった。特定のBIツールに内在するSQLインジェクションの脆弱性を悪用された事例や、公開Webサーバを経由して内部のアプリケーションサーバ上に不正な命令を実行するプログラム（Webシェル）が設置された事例が報告された。

IT部門が今すぐ実施すべき点検作業

　相次ぐ被害を早期に食い止めるため、IPAは経営層がリーダーシップを発揮して至急システムを点検するよう強く求めている。

　IT部門はまず、自組織が独自に開発して外部公開しているアプリケーションと、利用中のクラウドサービスやVPNサービスの徹底的な洗い出しに着手すべきだ。洗い出した各サービスでの直近数カ月分のアクセスログを精査し、平時とは異なる異常な通信記録がないかどうかを確認しなければならない。具体的な異常の兆候としては、エラーの出力量の急増、ログイン失敗の連続、通常とは異なるIPアドレスや時間帯からのログインなどが挙げられる。作成した覚えのない不審なアカウントが存在しないかどうか、削除されたはずのアカウントが有効化されていないかどうかなど、アカウントの管理状況を点検することも不可欠だ。

　システムの調査と並行して、組織が保有するデータそのものを見直す必要がある。不要な情報は保持しないというセキュリティの基本原則に立ち返り、システム内には必要最小限の個人情報や機密情報を保持するように整理する。万が一、異常なログや不審なアカウントを発見した場合は、速やかにセキュリティインシデントとして扱い、情報漏えいの可能性を考慮して専門のセキュリティ企業に詳細な調査を依頼する決断が必要だ。

認証強化と権限管理による抜本的なセキュリティ対策

　初期の点検で異常が確認されなかった場合でも、高度化する攻撃に備えて、より強固な防御体制を構築しなければならない。JPCERT/CCはAPIの安全性を確保するための指針として、単位時間当たりのリクエスト件数を制限し、短時間での連続アクセスや大量実行を防ぐ手法を推奨する。ログインやパスワードリセットといった不正利用のリスクが高い機能に対しては、個別に利用回数の制限を設けることが有効だ。APIの利用者やトークンに付与する権限を必要最小限に絞り込み、適切な有効期限を設定して長期間有効なトークンの使用を避ける運用も欠かせない。

　IPAは包括的な対策として、外部公開範囲の再評価と認証機能の抜本的な強化を提唱する。多要素認証（MFA）によるパスワード認証の強化や、API連携を含むアプリケーション構成要素ごとのアクセス権限の厳格化などの措置がこれに該当する。加えて、データアクセスのログ取得内容や保持期間の見直し、保管データの暗号化を進めるのが望ましい。業務上必要ない管理機能が意図せずインターネットに公開されている場合は、即座に公開を停止すべきだ。

　企業を取り巻くサイバーセキュリティの脅威は複雑化しており、自社のシステムだけではなく国内外の拠点や取引先を含めたサプライチェーン全体での対策が不可欠になっている。IT部門による技術的な対処にとどまらず、経営層がサイバーセキュリティを自社の事業継続に関わる重要課題として認識し、関係者との積極的なコミュニケーションを通じて組織横断的な体制を構築することが急務だ。