三菱パワー：マネージドサービス事業者経由で社内ネットワークに不正アクセス、サーバ設定やアカウントなどのIT情報が流出

1. 2020-09-07

   攻撃者が、マネージドサービス事業者（MSP）を通じて同社のサーバ1台にマルウェアを入れ、11日にかけて社内のネットワークを探った。 [1] [2]

2. 2020-09-11

   感染を広げる動きを始めた。12日には痕跡が途絶え、20日にかけて活動が止まった。 [1]

3. 2020-09-21

   攻撃を再開した。22日には起点を同社のサーバから、グループ会社のサーバに移した。 [1] [2]

4. 2020-10-02

   パソコンの不審な動きに気づいた。3日にかけて、影響を受けた端末をネットワークから切り離し、外部への不正な通信先を特定して遮断した。 [1]

5. 2020-10-07

   侵入口がMSPだと突き止め、関連する機器と通信を遮断して、封じ込めを終えた。8日にMSPへ調査を求め、12日に不正侵入があったとの報告を受けた。 [1]

6. 2020-12-11

   公表した。 [1]

影響は同社とグループ会社に限られた。流出が確認されたのは、サーバの設定情報、アカウント情報、認証処理のメモリダンプなどのIT関連情報で、機微な情報や機密性の高い技術情報、取引先の重要情報、個人情報は確認されていない。親会社の三菱重工グループのネットワークへの不正アクセスも確認されなかった。 [1] [2]

最初に入られた原因は、MSPが提供するソフトウェアの脆弱性だった。まだ公開されておらず、修正の手立てもない、いわゆるゼロデイの欠陥で、同社は三菱重工と連携してそのソフトの利用をやめた。短期間で広がった原因は、MSPが管理するUNIXサーバと社内ネットワークの間にファイアウォールがなく、通信を絞れていなかったことにある。 [1] [2]

同社は、MSPとの通信経路を遮断してサービスの利用をやめ、パートナー企業との接続箇所にファイアウォールがあるかを点検している。MSPの名は公表せず、先に被害を公表した日立システムズとの関係は明らかにしていない。 [1] [2]