VPN経由でランサム攻撃 - 多要素認証の一時停止中に侵入

「Active Directory」を侵害されており、別名「Zerologon」とも呼ばれる「CVE-2020-1472」を用いられた痕跡が見つかった。また脆弱な管理者パスワードを用いており、脆弱性の悪用以前にログインされた形跡もあったという。

被害はディレクトリサーバの管理下にある端末はもちろん、それ以外にも拡大。初期侵入から暗号化までわずか3日で展開された。バックアップサーバも被害に遭ったため復旧できず、再構築が必要となった。

同機構では、今回のケースを分析し、セキュリティレベルが下がったタイミングで攻撃が展開されることがあり、業務の都合でセキュリティレベルを一時的に落とす場合も、安全に運用できるよう対策を講じる必要があると指摘。またバックアップ先を複数用意したり、バックアップ時のみ接続するといった対策の検討を呼びかけている。