「従業員のフリ」で認証突破 4000万ポンド被害のロンドン交通局に学ぶ初動：被害拡大を防いだ「自ら遮断する判断」
英公共交通機関を運営するTfLは、ヘルプデスクへのソーシャルエンジニアリングを起点とするサイバー攻撃を受けた。データ流出や4000万ポンドの被害が発生したが、公共交通機関の運行は継続できた。その背景は。
英ロンドンの公共交通機関を運営するTransport for London（TfL）は2024年、ヘルプデスクを標的にしたサイバー攻撃を受けた。盗まれたユーザーデータは約1000万人分、対応費用は4000万ポンドに達した。しかし、地下鉄やバスの運行停止には至らなかった。被害の抑制に貢献したTfLの取り組みを紹介する。
ヘルプデスクを狙った攻撃の全貌は
併せて読みたいお薦め記事
ソーシャルエンジニアリングの関連記事
サイバー攻撃に使われたのは、ヘルプデスクを起点とするソーシャルエンジニアリングだ。攻撃者は従業員を装って認証情報を変更させ、TfLのネットワークに侵入。権限を拡大し、組織のシステムを広範に操作できる状態に到達した。
地下鉄やバスの運行停止には至らなかったものの、交通系ICカード「Oyster」の関連サービスや払い戻し処理、外部事業者向けAPI（アプリケーションプログラミングインタフェース）などが長期間にわたって混乱した。
TfLが受けた損害については、システムの被害や復旧などに伴う費用が約2900万ポンド、サービス停止などによる収入減が約1000万ポンドで、合計約3900万ポンドに達したとの報道もある。
流出したデータの規模は、700万〜1000万人分。Oysterの払い戻しシステムに保存されていた顧客データへ攻撃者がアクセスしたとしている。
従業員を装ってヘルプデスクに接触
攻撃は2024年8月末から9月初めにかけて発生した。裁判で明らかになった内容によると、攻撃者側は、あらかじめ不正に入手したTfL従業員のログイン情報を使ってヘルプデスクに電話した。
攻撃者は従業員本人を装い、「リモートから社内ネットワークに接続できない」といった趣旨の説明をした。その上で、認証に使う情報や端末の設定を、攻撃者が管理できる状態に変更させた。
ヘルプデスクは、パスワードを忘れた従業員や端末を交換した従業員などから日常的に問い合わせを受ける。攻撃者は、こうした正規のサポート手続きを悪用した。システムの脆弱性を直接突くのではなく、担当者に正規の利用者だと信じ込ませ、認証を突破した形だ。
ネットワークへの侵入後、攻撃者はアクセス権限を段階的に引き上げた。最終的には「ドメイン管理者」の権限を持つアカウントを作成し、多数の従業員アカウントや端末、システムを操作できる状態に達した。
検察側は、この強い権限を手にした状態を、組織のシステムを支配する「王国の鍵」を入手したようなものだと表現した。攻撃者が侵入を続けていれば、公共交通機関の運行を支えるシステムを含め、さらに広い範囲に被害が及んだ可能性があった。
Oysterや払い戻し、到着案内に障害
攻撃によって影響を受けたのは、Oysterの顧客向けサービスだけではなかった。TfLは攻撃を封じ込めるため、社内外から利用できる多数のシステムやネットワーク接続を制限した。
その結果、Oysterカードや非接触型決済に関連するオンラインサービスで、決済履歴の確認、カードの登録、払い戻し申請などが利用できなくなった。子供や若者向けのOysterフォトカードを申請するシステムも停止した。
払い戻し処理にも遅れが生じ、一部の利用者は長期間にわたって返金を受けられなかった。TfLが顧客による移動履歴の確認や払い戻し申請を再開したのは、攻撃を検知してから約3カ月後の2024年12月だった。
地下鉄などのリアルタイム到着情報を配信するシステムにも影響が及んだ。TfLのWebサイトや公式アプリだけでなく、TfLのAPIを利用して情報を提供する外部アプリでも、一部の到着情報を表示できない状態が発生した。
障害者や高齢者などの移動を支援する予約制交通サービス「Dial-a-Ride」では、新規予約を電話で受け付けられない期間が生じた。2024年9月に予定されていた、ロンドン近郊の鉄道47駅への非接触型決済の導入も延期された。
TfLの従業員にも大きな負担が生じた。攻撃者が入手した認証情報を無効化するため、約2万7000人の従業員がパスワードを再設定した。本人確認を確実にするため、従業員はTfLの施設へ出向き、対面で手続きをする必要があった。
一方、地下鉄、バス、鉄道、トラム、「Docklands Light Railway」（DLR）などの運行は継続した。攻撃者はTfLのIT環境に深く侵入していたが、公共交通機関全体が停止する事態には至らなかった。
被害を抑えたのは「自らシステムを止める判断」
NCAは、攻撃の影響が一定程度に抑えられた要因として、TfLの迅速な初動対応を挙げた。
TfLは2024年9月1日に不審な活動を把握すると、ネットワークや各システムへのアクセスを制限した。安全上重要なシステムを維持しながら、攻撃者が利用している可能性のある接続経路やアカウントを切り離し、侵入範囲の拡大を防いだ。
裁判では、TfLが攻撃者によるシステム全体の掌握を防ぐため、外部との接続を大幅に遮断したと説明された。顧客向けサービスや社内システムに発生した障害の一部は、攻撃者による直接的な破壊ではなく、TfLが被害拡大を防ぐために実施した封じ込め措置によるものだった。
これは、サービスを維持しようとして侵入経路を残すのではなく、一時的な業務停止を受け入れてでも、より重要なシステムへの波及を防ぐ判断だったといえる。
TfLは、組織内のユーザー認証やアクセス権限を管理する「Active Directory」を再構築した。従業員のパスワードを変更し、一部のセキュリティシステムも交換した。
システムを一斉に元の状態へ戻すのではなく、安全性と業務上の重要度を確認しながら、優先順位を付けて段階的に復旧させた。このため、利用者向けサービスの完全な復旧には数カ月を要した。
TfLはNCAや英国のNCSC（National Cyber Security Centre）にも早い段階で連絡し、捜査と技術支援を受けた。攻撃の痕跡やログなどのフォレンジック証拠を保全したことは、侵入経路の解明や攻撃者の特定、その後の刑事訴追にもつながった。
攻撃直前のサイバー演習が初動を支援
もう1つの要因が、攻撃を受ける前にTfLが複数回実施していたサイバー演習だ。
一般にサイバー演習では、攻撃発生時の指揮系統、システムを停止・隔離する際の判断、社内外への連絡、重要業務の継続、復旧の優先順位などを検証する。
TfLが実施した演習の詳しいシナリオや回数は公表されていない。ただし、実際のインシデントでは、発生直後から「Gold Commander」と呼ばれる全体指揮責任者を置き、組織横断で対応を進めた。
技術部門だけでなく、公共交通機関の運行部門、顧客対応部門、広報部門、法務部門、経営層、外部の捜査・セキュリティ機関が連携する体制を構築した。最初の24時間に全体指揮責任者を置いた後、ネットワーク管理とレジリエンスを担当する責任者に指揮を引き継いだ。
重大なインシデントでは、技術的に可能な対策だけでなく、どのサービスを止め、どの業務を優先するかという経営判断が必要になる。演習によって指揮系統や部門間の役割を事前に確認していたことが、TfLの迅速なアクセス遮断や復旧作業を支えたとみられる。
英国で過去最大規模のサイバー犯罪訴追
今回の事件の捜査にはNCAとロンドン市警察のほか、米連邦捜査局（FBI）をはじめとする米国や各国の捜査機関が参加した。
TfLへの攻撃に関与したとして、Scattered Spiderの主要メンバーとされるオーウェン・フラワーズ被告とタルハ・ジュベア被告は、それぞれ禁錮5年6カ月の判決を受けた。事件当時、両被告は10代だった。
NCAサイバー犯罪部門責任者のポール・フォスター氏は、今回の事件を、英国におけるサイバー犯罪者に対する過去最大規模の刑事訴追と位置付けた。NCAと警察の担当者は約2年間にわたり、詳細な捜査とリスク管理を続けたという。
捜査の複雑さと難しさは、NCAが2024年に実施したランサムウェア集団「LockBit」の摘発作戦を上回った可能性があるとフォスター氏は説明した。
Scattered Spiderは、特定の組織構造を持つ単一の集団というより、英語を話す若い攻撃者がオンライン上で緩やかにつながるサイバー犯罪者のコミュニティーとされる。ソーシャルエンジニアリングやSIMスワッピング、認証情報の窃取を組み合わせ、企業のヘルプデスクや従業員を狙うことを特徴とする。
フォスター氏は、今回の捜査と訴追によって、同集団の活動能力と影響力は大幅に低下したとの見方を示した。
TfLの事例は、ヘルプデスクが企業の認証基盤を突破する侵入口になり得ることを示している。多要素認証を導入していても、本人確認や認証情報の再設定手続きが不十分であれば、攻撃者に正規のアクセス手段を与える可能性がある。
同時に、侵入を完全に防ぐ対策だけでは不十分であることも浮き彫りになった。攻撃者が強い権限を手にした段階でも、TfLはネットワークを切り離し、認証基盤を再構築することで、公共交通機関全体の停止を防いだ。
攻撃を前提とした演習を繰り返し、初動の指揮系統、連絡体制、システムの隔離手順、復旧の優先順位を事前に整えることが、被害を限定し、事業を継続するための鍵になる。
Copyright © ITmedia, Inc. All Rights Reserved.
