Target 2013年取引先の資格情報から店頭の決済端末へ

取引先から盗まれた資格情報で入口のサーバーに入られ、社内の網を通って店頭のレジにマルウェアを置かれた。カード情報は暗号化される前にレジのメモリから取られた。PCI DSS の準拠の認定を受けた2か月後で、気付いたのは外からの通知だった。

米国の小売の Target Corporation。侵入は2013年11月12日ごろ[9]、司法省からの通知で知ったのは12月12日[3]、公表は12月19日[1]。12月15日にほぼ全部のレジからマルウェアを除き[3]、2014年4月に取引先の入口の見直し、網の分離、許可したプログラムだけ動かす仕組みを入れたと公表した[6]。2017年5月に47州とコロンビア特別区の司法長官と合意し、5年の間守る対策を約束した[8]。2026年11月時点の公開資料で書いています。

要点

入口は Target 自身の弱点ではなく、取引先の資格情報だった。取引先のアカウントが、決済の網まで届く社内の網の上にあった。
レジのマルウェアは、磁気帯から読んだカード情報を、社内で暗号化する前に取った。通信路の暗号化は、端末の中で取られれば効かない。
約4000万件のカードと、最大7000万人の氏名や連絡先が取られた。2つは別の盗みで、後者は調査の途中で見つかった。
2013年9月に PCI DSS の準拠の認定を受けていた。認定は、ある時点の点検に通ったことを示すだけで、侵入されないことを示さない。
根本の守りは、取引先の入口を絞って多要素にする、決済の環境を網として切り離す、店頭の端末では許可したプログラムだけを動かす、カード情報を読み取った所で暗号化する、の4つ。

何が起きたか

図1 侵入から公表までの段

日付	出来事
2013年9月	Target のシステムが PCI DSS に準拠していると認定される[3]。年次報告では、カード情報を扱う部分の網が2013年秋に外部の評価者から準拠と判定されたと書く[4]
2013年11月12日ごろ	取引先から盗まれた資格情報で、Target のゲートウェイのサーバーに入られる[9]
2013年11月27日	米国の店舗で使われたカードの情報が取られ始める[1]
2013年12月12日	夜に司法省から、Target の店舗で使われたカードに怪しい動きがあると通知を受け、社内の調査を始める[3]
2013年12月13日、14日	13日に司法省とシークレットサービスと会い、14日に外部の調査の専門家を雇う[3]
2013年12月15日	侵入とレジのマルウェアを確かめ、同じ日に米国の店舗のほぼ全部のレジから除く[3]
2013年12月18日	15日の除去のときに網から外れていた約25台のレジで、マルウェアを止める。追加で影響を受けた口座は150件未満と判断[3]
2013年12月19日	約4000万件のクレジットとデビットのカードの口座に影響した恐れがあると公表する[1]
2013年12月27日	マルウェアが強く暗号化された PIN のデータも取っていたと公表する[3]
2014年1月10日	前日に確かめた、最大7000万人の氏名、住所、電話番号、メールアドレスの窃取を公表する。新しい侵入ではなく、調査の中で見つかったと説明[2][3]
2014年2月4日	約1億ドルで、自社のカードと米国の全店舗の読み取り機を、2015年の第1四半期までにICチップに対応させると公表する[5]
2014年2月5日	下院の公聴会の書面で、侵入者が取引先の資格情報を盗んで入り、レジにマルウェアを置いたと説明する[3]
2014年3月26日	上院の商業委員会の多数派の職員が、キルチェーンで分析した報告書を出す[7]
2014年4月29日	監視と記録の強化、許可したプログラムだけ動かす仕組み、網の分離、取引先の入口の見直し、アカウントの強化を公表する[6]
2017年5月23日	47州とコロンビア特別区の司法長官と合意し、1850万ドルを払う[8][9]

取られたもの	数	中身
カード情報	約4000万件[1][4]	米国の店舗で11月27日から12月15日に使われたカード。磁気帯から読んだ情報を、社内で暗号化する前に取った[3][4]。暗号化された PIN も含む[3]
客の連絡先	最大7000万人[2]	氏名、住所、電話番号、メールアドレス。多くは一部だけ[2]

窃取の終わりの日は資料で違う。2014年2月の書面は12月18日まで[3]、3月の年次報告は12月15日までとし、別に1台のレジで12月16日と17日に56人分が取られたと書く[4]。
州の司法長官の側は、カードの口座4100万件超、連絡先6000万人超と書く[9]。
2013年の第4四半期に、調査、客の信用の見守り、問い合わせの窓口、カードの会社への支払いの見込みなどで6100万ドルを費用に計上した[4]。

通った道筋

図2 取引先の資格情報からレジまでの道筋

段	何があったか
取引先	侵入者は取引先の資格情報を盗み、それで Target のシステムに入った[3]。州の調査は、入った先をゲートウェイのサーバーとする[9]。上院の報告書は、取引先をペンシルベニア州の空調と冷凍の工事会社とし、その会社が Target とつないでいたのは請求、契約の提出、工事の管理のためだったと書く[7]。
社内での広がり	州の調査は、その資格情報で Target のシステムの弱点を使い、客の対応のDBに届き、マルウェアを入れたと書く[9]。どの弱点かは、Target も州も公表していない。
店頭のレジ	マルウェアは、磁気帯から読んだカード情報を、Target のシステムの中で暗号化される前に取るように作られていた[3]。
外への持ち出し	Target の資料は持ち出しの道を書かない。上院の報告書は、報道と民間の分析をもとに、盗んだ情報を社内の別のサーバーに集めて FTP で外へ送り、2週間で11GBを集めたと書く[7]。

Target は2014年4月に、侵入で使われたサーバーへの取引先の入口を廃止し、FTP と telnet を含む取引先の入口の一部を止めたと公表した[6]。取引先の入口のサーバーが道筋の上にあったことは、この発表からも読める。

上院の報告書は報道をもとにしている

よく引かれる上院の報告書は、報道と専門家の分析から組み立てたものだと自ら書き、全体は Target の調査が終わるまで分からないとしている[7]。侵入の検知の製品が何度も警告を出したのに Target が動かなかった、取引先がメールでマルウェアを送られた、既定のアカウント名を使って広がった、といった話は、この報告書が雑誌や個人の調査の記事から引いたもので、報告書自身も一部を未確認としている[7]。Target の発表、議会への書面、年次報告、州との合意には、これらの記述が無い。以下は報告書の見立てで、確定した事実ではない。

上院の報告書の見立て

報告書は、Lockheed Martin のキルチェーンの7つの段に当てはめ、Target が止められた所を挙げた[7]。要旨で挙げた4点は次のとおり。

広く受け入れられた情報セキュリティの実務に従っていないように見える小さな取引先に、網への入口を与えた[7]。
侵入の検知の製品が、マルウェアの設置について出した自動の警告に応じなかったように見える[7]。
侵入者が客の情報のある所まで動けたことから、最も機微な資産を適切に切り離していなかったと見られる[7]。
持ち出しの道について、侵入の検知の製品が出した情報に応じなかった[7]。

報告書はまた、PCI DSS 2.0 が支払いの網への遠隔のアクセスに二要素の認証を求めていること[7]、不要な既定のアカウントの削除と重要なファイルの完全性の監視を求めていることを挙げ、準拠の認定を受けていても侵入を防げなかったことを示した[7]。

どこで止められたか

図3 段ごとの止める所

止める所	この件で	Target が後に入れたもの、州が求めたもの
取引先の入口を絞り、多要素にする	取引先の資格情報だけで入口のサーバーに入れた[3][9]	侵入で使われたサーバーへの取引先の入口を廃止し、取引先のアカウントの一部を止め、二要素の認証を広げた[6]。州は、社員、管理者、取引先のアカウントに二要素の認証を組み込むことを求めた[8]
決済の環境を切り離す	入口のサーバーから、客の情報のDBと店頭のレジまで届いた[9]	網の分離を強め、ファイアウォールの規則を見直して管理の手順を作った[6]。州は、決済の環境とほかの網のつながりを洗い出し、切り離し、侵入の試験を続けることを求めた[8]
許可したプログラムだけ動かす	レジでマルウェアが動いた[3]	全部のレジと店頭のサーバーに、許可したプログラムだけ動かす仕組みを入れた[6]。州は、これと、重要なファイルの書き換えを知らせる監視を求めた[8]
警告を受ける人と手順を決める	侵入から約1か月、司法省の通知まで気付かなかった[3][9]。年次報告は、数週間見つからなかったと書く[4]	規則と警告を足し、記録を1か所に集め、記録する範囲を広げた[6]。州は、記録を集めて網の動きを監視する仕組みを求めた[8]
外への通信を宛先で絞る	持ち出しの道は Target の資料に無い。上院の報告書は、外のサーバーへの FTP の送信を宛先で止められたと見る[7]	州は、決済の環境へつなごうとする機器の出入りを、ファイアウォールなどで管理することを求めた[8]
読み取った所で暗号化する	マルウェアは社内の暗号化の前で取った[3]	自社のカードと全店の読み取り機をICチップに対応させた[5]。州は、取引の間ずっとカード情報を暗号化するなど、盗まれても価値が無い形にする努力を求めた[8]

準拠の認定は安全の証明ではない

Target は2013年9月に PCI DSS の準拠の認定を受けていた[3]。それでも年次報告では、カードの会社の側の調査者が、侵入の時点で準拠していなかったと主張すると見込んでいた[4]。点検はある日の状態を見るだけで、取引先の入口の変化や、届いた警告の扱いまでは追わない。

守り方

根本の直し方

取引先の入口は、その取引先の仕事に要る1つの画面かサービスにだけ届く形にする。社内の網の上に置かず、入口の裏から社内のほかのサーバーへ出る道を作らない。資格情報は取引先ごと、人ごとに分け、多要素の認証を必須にする。認証の決まりは A07 認証の不備の守り方にある。
カード情報を扱う機器を1つの網にまとめ、ほかの網から届く道を、要る宛先と口だけに絞る。まず今あるつながりを洗い出す。州の合意も、洗い出しを分離の先に置いている[8]。
レジや店頭のサーバーのような役割の決まった機器では、許可したプログラムだけを動かす。マルウェアの見つけ方に頼るより、知らないものを起動させない方が確かである。
カード情報は、読み取り機の中で暗号化し、決済の会社に届くまで社内で平文にしない。この件のマルウェアは、社内の暗号化の前を狙った[3]。

取引先の入口を絞る規則の例。架空の網で、nftables の形で書く

# 198.51.100.0/24  取引先が VPN で入る網
# 192.0.2.10       取引先向けの請求の画面
# 203.0.113.0/24   店頭のレジとレジの管理の網
table inet border {
  chain forward {
    type filter hook forward priority 0; policy drop;
    ct state established,related accept
    ip saddr 198.51.100.0/24 ip daddr 192.0.2.10 tcp dport 443 accept
    ip saddr 198.51.100.0/24 accept            # 入れてから広く許す形にしない
    ip saddr 203.0.113.0/24 ip daddr payments.example.com tcp dport 443 accept
    # レジの網から外へ出る道は決済の宛先だけ。ほかは既定で落ち、記録に残す
    log prefix "border-drop " counter
  }
}

名前の宛先は、規則を読み込む時に一度だけ引かれる。実際には宛先のアドレスの集合を管理して更新する。
落とした通信を記録するだけでなく、レジの網から決済の宛先以外へ出ようとした記録は、そのまま警告にする。役割の決まった網から想定外の宛先へ出る通信は、誤検知が少ない。

緩和の策

警告ごとに、受ける人、期限、することを決めておく。警告が多すぎて読まれないなら、規則を直す。記録と警告の作りは A09 セキュリティログとアラートの不備の「警告と保全が無い」にある。
取引先のアカウントの一覧を持ち、使われていないものは止める。使った時刻と送信元を見て、ふだんと違えば止めて確かめる。Target は事件の後に、社員と委託先の44万5000件のパスワードを一斉に変え、取引先のアカウントをいくつも止めた[6]。
レジと店頭のサーバーの重要なファイルが書き換わったら知らせる。州の合意が求める対策の1つである[8]。
FTP や telnet のような古い口を、取引先の入口から外す[6]。使っていない既定のアカウントを消す。既定の資格情報の扱いは A02 セキュリティ設定の不備の型1にある。
情報セキュリティの責任者を置き、経営と取締役会に危険を伝える役割にする。州の合意は、これを求める項目を入れている[8]。

AIに頼む網の設定の変更

つながらないという相談に、AIは許可を広げる規則で応えやすい。上の例の悪い行のように、送信元だけで全部を許す1行は、差分としては短く、通ればそのまま残る。網の規則の差分は、宛先と口が絞られているかを人が読む。
取引先のための入口を作る依頼では、どの画面にだけ届けばよいかを、頼む前に人が決めて渡す。決めずに頼めば、届けばよい形で作られる。差分を読む手順は AIの出力を確かめるにある。

参照

Target Confirms Unauthorized Access to Payment Card Data in U.S. Stores Target、2013年12月19日
Target Provides Update on Data Breach and Financial Performance Target、2014年1月10日
Written Testimony of John Mulligan, Protecting Consumer Information: Can Data Breaches Be Prevented? Target の最高財務責任者、米下院エネルギー商業委員会の小委員会、2014年2月5日
Target Corporation Form 10-K, fiscal year ended February 1, 2014 Target、米証券取引委員会への年次報告、2014年3月
Target Accelerates Implementation of Chip-Enabled Smart Card Technology Target、2014年2月4日
Target Appoints New Chief Information Officer, Outlines Updates on Security Enhancements Target、2014年4月29日
A "Kill Chain" Analysis of the 2013 Target Data Breach 米上院商業科学運輸委員会多数派の職員の報告書、2014年3月26日。報道と民間の分析にもとづく
Assurance of Voluntary Compliance, Target Corporation 47州とコロンビア特別区の司法長官と Target の合意、コネチカット州司法長官室、2017年5月
Target Corporation to Pay $18.5M over 2013 Data Breach バージニア州司法長官室、2017年5月23日

Target 2013年 取引先の資格情報から店頭の決済端末へ

要点