Colonial Pipeline 2021年 使われていないVPNの入口からのランサムウェア

使う予定の無い古いVPNの設定が、パスワードだけで入れる状態で残っていた。暗号化されたのは情報システムの側だけだったが、制御の網まで届いていないと言い切れず、約8,850キロの管を全部止めた。入口を1つ消し忘れた代償は、守りの穴の大きさでなく、止めずに済むと言える根拠が無かったことで決まった。

攻撃したのは DarkSide。CISA と FBI は、開発者が攻撃の実行役と利益を分けるランサムウェアのサービスと書く[2]。発覚は2021年5月7日、全線の運転の再開は5月12日の夕方[1]。会社は古いVPNの設定を止め、仕組みを作り直したと議会で証言した[1]。2021年6月の議会の記録と、CISA、FBI、DHS の発表に沿って書いています。入られた日と、資格情報がどこから漏れたかは、証言の時点で調査中とされた。2026年11月時点の公開資料で書いています。

要点

  • 入口は、使う予定の無い古いVPNの設定だった。この設定は1つの要素の認証だけで、遠隔からの接続にふだん使うトークンが要らなかった。侵入の試験にも出てこなかった。
  • 暗号化されたのは情報システムの網で、制御の網に入られた証拠は見つかっていない。それでも、届いたかもしれない限り止めるとして、約15分で全線を止めた。
  • 会社は75ビットコイン、約440万ドルを払った。司法省はそのうち63.7ビットコインを取り戻した。復旧に効いたのはバックアップで、渡された復号の道具は完全ではなかった。
  • 根本の守りは、外から入れる入口を全部数えて要らない物を消すこと、全部の入口に多要素認証を強いること、制御を情報システムと切り離しても動かせるようにしておくこと。

何が起きたか

5月7日の朝5時前に脅迫文が見つかり、6時10分に全線が止まり、8日に支払い、12日の夕方に運転を再開し、6月7日に司法省が一部を取り戻した 1 見つかる 5月7日 5時前 社員が情報システム で脅迫文を見る 2 止める 5時55分に始め 6時10分に全線 約15分 3 払う 7日の夕方に交渉 8日に支払い 75ビットコイン 4 戻す 5月12日の夕方 全線の再開を始める 6月7日に一部回収 止めていた5日余り、管の上を人が巡り、数値を手で集めて報告した 時刻は米国東部の夏時間。議会での会社の証言による
図1 発覚から再開まで
日付出来事
2021年5月7日 5時前社員が情報システムの網の機器で脅迫文を見つけ、管制所の運転の監督者へ知らせる。監督者が作業の停止を命じる[1]
同日 5時55分から6時10分停止の作業を始め、6時10分に約8,850キロ、5,500マイルの全線が止まったことを確かめる。13の州とワシントンD.C.の約260の受け渡しの地点を持つ管を約15分で止めた[1]
同日朝のうちに FBI へ連絡し、数時間後に FBI と CISA との電話の場を持つ。Mandiant に調査を頼み、数時間のうちに一部の地域の管を手動の運転に戻す[1]。夕方に交渉を決める[1]
2021年5月8日交渉の代理を通じて75ビットコインを払う[1]。最初の要求は、今なら480万ドル、後なら倍の960万ドル、だった[1]。同じ日の午後、支払い先の財布を FBI に渡す[1]
2021年5月11日CISA と FBI が DarkSide についての注意喚起 AA21-131A を出す[2]
2021年5月12日 夕方制御の網を全部戻し、全線の運転の再開を始める。その間に、管の点検で4万6,000キロ余り、2万9,000マイル余りを車で回った[1]
2021年5月27日DHS の運輸保安庁 TSA が、重要な管の事業者へ、事故の CISA への報告、常に連絡の付くサイバーセキュリティの担当の指名、30日以内の点検と報告を求める指令を出す[3]
2021年6月7日司法省が、払われた75ビットコインのうち63.7ビットコインを取り戻したと発表する[1]
2021年6月8日CEO が米国上院の国土安全保障と政府問題の委員会で証言する[1]
証言に無いこと
  • 入られた日、パスワードが他で漏れた組から取られたという話は、報道で広まった。会社は、資格情報をどう得たかは調査中だと証言し、日付も出どころも示していない[1]。
  • 課金の仕組みが動かないので止めた、という話も報道にある。会社の証言は、制御の網へ広がらないよう隔てるために止めたとする[1]。
  • 持ち出されたデータの量は、委員長の冒頭の発言にあるが、会社は持ち出されたファイルを調べている途中だと答えている[1]。量は
  • 司法省の発表の本文は取得できなかった。回収の量は、議会の記録にある委員の発言によっている。

通った道筋

外から古いVPNの設定にパスワードだけで入り、情報システムの網を暗号化してデータを持ち出した。制御の網に入られた証拠は無いが、会社は制御の網を含む全線を止めた 攻撃者 資格情報の出どころ は調査中 VPN の入口 ふだんの設定は パスワードとトークン 古い設定は パスワードだけ 情報システムの網 暗号化と持ち出し 脅迫文を残す 届いた証拠は無い 届かないとも言えない 制御の網 管の運転 全線を止める 会社の判断 始まりも広がりも分からない 広がる見込みが少しでもあれば止める
図2 入口から、全線を止める判断まで
段何があったか
入口使う予定の無い古いVPNの設定を突かれたと見ている。この設定は1つの要素の認証だけだった。パスワードは単純な物ではなかった。ふだんの遠隔の接続には RSA のトークンを使っていた[1]。
見えなかった理由CEO は、この設定は会社から見えておらず、侵入の試験にも出なかったと証言した。TSA の任意の設計の点検は質問票の形なので、受けていても見つからなかっただろうとも述べた[1]。
情報システムの網暗号化され、持ち出されたことは脅迫文で知った[1]。DarkSide の手口は、暗号化と持ち出しをして、払わなければ公開すると脅すこと[2]。
制御の網CISA と FBI は、制御の網が直接に影響を受けた兆しは無いと書いた[2]。会社も、Mandiant は制御の網に入られた証拠を確かめていないと証言した[1]。
止める判断見つけた時点で、攻撃の始まりも広がりも分からず、全体を止めるのが確かな隔て方だったと会社は述べる。CEO は、制御の網が侵されている見込みが1%でもあれば止める価値があったと証言した[1]。
暗号化されていない側が止まった

管を動かす制御の網は、侵された証拠が無いまま5日余り止まった。止めたのは攻撃者でなく会社である。情報システムの網と制御の網の境が、侵されていないと素早く言える形になっていなかったため、安全の側に倒すしかなかった。網を分けるだけでは足りず、分けてあることを入られた最中に確かめられる必要がある。

どこで止められたか

入口の棚卸し、認証、情報システムの網の中、網の境、復旧の5つの段に、それぞれ止める所を置く 入口の棚卸し 認証 情報システムの網 網の境 復旧 1 入口を機器の設定から数える 台帳でなく機器の設定を読み、要らない物を消す 2 全部の入口に多要素認証 設定ごとでなく、入口の機器の側で強いる 3 遠隔の接続と持ち出しを見張る 使われないはずの設定での接続は、それだけで警告 4 制御を切り離しても動かせる 境を確かめる手順と、手動の運転を試しておく 5 網から離したバックアップ この件で復旧を支えたのはここ
図3 段ごとの止める所
止める所この件で限り
入口を機器の設定から数える会社から見えておらず、侵入の試験にも出なかった[1]台帳や質問票は、書かれた物しか数えない。機器の設定と、実際に受け付けている接続から数える
全部の入口に多要素認証ふだんの設定はトークンを求めたが、古い設定は求めなかった[1]。CEO は多要素認証を使うべきだと答えた[1]多要素認証を設定ごとに付ける作りでは、付け忘れた設定が穴になる。入口の機器の既定にする
遠隔の接続と持ち出しを見張る見つけたのは、暗号化のあとの脅迫文だった[1]使われないはずの設定での接続を記録していなければ、警告も出せない
制御を切り離しても動かせる数時間で一部の管を手動に戻し、再開まで人が管を巡り数値を手で集めた[1]手動で運べる量は限られる。全線を止めずに済む根拠は、境が保たれていると示せる記録と構成の方にある
網から離したバックアップバックアップで、封じ込めから数時間のうちに要の仕組みを戻し始め、数日で終えた[1]持ち出されたデータは戻らない。公開の脅しは残る

守り方

根本の直し方
  • 外から入れる入口を、VPN の機器、遠隔の操作の道具、クラウドの管理の画面まで、機器の設定から全部数える。使う予定の無い設定、接続の記録が無いアカウントは消す。数えた結果は定期に作り直す。
  • 外から入る全部の経路で多要素認証を強いる。CISA と FBI は、情報システムと制御の両方の網への遠隔の接続に多要素認証を求める[2]。パスワードの規則と多要素認証の考え方は A07 認証の不備 にある。
  • 情報システムの網と制御の網の間を固く分ける[2]。分けたうえで、制御が情報システムの何に頼っているかを洗い出し、それが止まっても運転できる手段を作り、試す。CISA と FBI は、手動の制御を定期に試すよう求める[2]。
  • バックアップは網から離して置き、戻す手順を試しておく[2]。

VPN の設定の棚卸し 架空の会社 example.com の機器の設定から書き出した表

profile           auth              last_login   owner
corp-remote       password+token    2026-11-09   情報システム部
vendor-support    password+token    2026-10-30   保守の委託先
legacy-remote     password          なし         不明     # 認証が1要素、使われた記録なし、持ち主なし
test-2019         password          2026-11-08   不明     # 持ち主が無いのに使われている。すぐ調べる
  • 持ち主が分からない設定は、まず止め、困る人が名乗り出るのを待つ。止めて誰も困らなければ消す。
  • 使われた記録の無い設定に接続があったら、それだけで調べる。記録の残し方と警告へのつなぎ方は A09 セキュリティログとアラートの不備 にある。
緩和の策
  • 止める判断の基準と、誰が止めてよいかを、前もって決めておく。この会社では全員が作業を止める権限を持ち、監督者の判断で15分で全線を止めた[1]。
  • 事故の直後に、捜査の機関と国の窓口へ連絡する道を決めておく。会社は発覚の日の朝に FBI へ連絡し、支払い先の財布を翌日に渡した。これが回収を助けたと会社は述べる[1]。
  • 払うかどうかの判断の前に、相手が制裁の対象でないかを確かめる。会社の外部の専門家は、払う前に米国財務省の制裁の一覧を確かめた[1]。
  • 払っても元通りになるとは限らない。CEO は、渡された復号の道具は完全ではないと証言した[1]。復旧はバックアップを前提に組む。

参照

  1. Threats to Critical Infrastructure: Examining the Colonial Pipeline Cyberattack S. Hrg. 117-429 米国上院 国土安全保障と政府問題の委員会、2021年6月8日の公聴会の記録。CEO の書面と口頭の証言、委員の発言、書面の質問への回答を含む。PDF
  2. AA21-131A DarkSide Ransomware: Best Practices for Preventing Business Disruption from Ransomware Attacks CISA、FBI、2021年5月11日、2021年7月8日改訂
  3. DHS Announces New Cybersecurity Requirements for Critical Pipeline Owners and Operators 米国国土安全保障省、2021年5月27日