Exchange Onlineのハッキング被害はまだまだ拡大 Microsoftが新たな情報を公開：Cybersecurity Dive

Microsoftは顧客に対し、2023年夏に発生した「Microsoft Exchange Online」のハッキング被害は、想定していたよりも広範囲に及んでいるとし、新たに対象となった顧客に追加で警告した。

[David Jones，Cybersecurity Dive]

　Microsoftは2024年6月24日（現地時間、以下同）の週、2023年夏に発生した「Microsoft Exchange Online」のハッキング被害について、「被害はこれまで知られていたよりも広範囲に及んでいた」とし、新たに対象となった顧客に対して「国家に関連する脅威グループ『Midnight Blizzard』によるパスワードスプレーキャンペーンが電子メールの侵害につながった」と通知した。

Exchange Onlineのハッキング被害はより広範に及ぶと判明

　通知を受け取った顧客は、フィッシングの標的にされる可能性を恐れ、ソーシャルメディアで情報を共有した（注1）。これらの新たな情報開示は「Bloomberg」によって最初に報じられた（注2）。

　Microsoftは、次のように述べている。

　「2024年6月24日の週、私たちは、Midnight Blizzardに情報を盗まれた法人顧客とやりとりをしていた他の顧客に対する通知を続けている。また、攻撃者がアクセスした電子メールのやりとりも顧客に提供している。これは既に通知を受け取っている顧客のためにさらに詳細な情報を提供するものであり、新しい通知も含んでいる」

　Midnight Blizzardは、2020年にSolarWindsを襲ったマルウェア「Sunburst」による攻撃に関連しており、「Nobelium」という名称でも知られている。同グループは、Microsoftに所属する多数の上級幹部の情報を2023年11月から盗み始め（注3）、それらを使用して顧客アカウントに侵入した。

　今回の通知は、2024年1月にハッキングが発覚して以来、Microsoftが順次公表してきた一連の開示に関する最新のものだ。Midnight Blizzardは、一連のパスワードスプレー攻撃を使用して、レガシーで本番環境ではないテスト用テナントアカウントを侵害した。

　その時点で、HPEは自社のMicrosoft環境に対するMidnight Blizzardの攻撃を公表していた（注4）。HPEの広報担当者は2024年6月28日に「Microsoftから新たな詳細情報に関する連絡を受けていない」と述べた。

　2024年3月にMicrosoftは「継続的かつ大規模なパスワードスプレー攻撃を活用して、ハッカーは一部のソースコードリポジトリと内部システムへのアクセスを獲得した」と発表した（注5）。

　ハッカーはこの攻撃によって、Microsoftと米国サイバーセキュリティ・インフラストラクチャ・セキュリティ庁（CISA）の間で共有されたデータを閲覧し（注6）、連邦政府機関の認証情報の一部を盗んだ。

　サイバー安全審査会（CSRB）による2024年4月の報告書で、Microsoftは非難を受けた。CSRBは、中国と関連する攻撃者によって国務省の電子メール数万通が盗まれた2023年夏の侵害も調査している。

　Microsoftは「the Secure Future Initiative」と呼ばれるプログラムのもと、セキュリティ慣行を改革する計画を早めた。Microsoftのブラッド・スミス氏（社長）は（注7）、今回の情報漏えいの責任を取り、全面的な改革を実施することを約束した。

　Gartnerのカテル・ティーレマン氏（バイスプレジデントアナリスト）は、電子メールで次のように述べた。

　「この出来事を通じて、サイバーイベントが『タイミングにより発生するもの』でないことを思い出すべきだ。フォレンジック調査を経て多くの内容が判明するケースがよくある」

（注1）Midnight Blizzard Microsoft Email Data Sharing Request: Legit?（Reddit）
（注2）More Microsoft Customers Learn Russian Hackers Saw Their Emails（Bloomberg）
（注3）Microsoft to overhaul internal security practices after Midnight Blizzard attack（Cybersecurity Dive）
（注4）HPE hit by a monthslong cyberattack on its cloud-based email（Cybersecurity Dive）
（注5）Microsoft’s security woes persist as Midnight Blizzard remains on the offensive（Cybersecurity Dive）
（注6）Federal agencies caught sharing credentials with Microsoft over email（Cybersecurity Dive）
（注7）Microsoft president promises significant culture changes geared towards security（Cybersecurity Dive）