別会社なのに、認証とネットワークはつながっていた

感染したPCは、LINEヤフーと韓国NAVER Cloudの双方が業務を委託する企業の従業者が使っていました。

NAVER Cloudと旧LINEの環境では、従業者情報を扱う認証基盤を共通化し、社内システムへのネットワーク接続も許可していました。攻撃者はNAVER Cloudのシステムを介して、旧LINE環境のシステムへ不正アクセスしました。漏えいした情報には、ユーザー・取引先・従業者等の情報が含まれています。[1]

感染の発端となった会社と、情報漏えいの被害を受けた会社は別でした。 その間にあった認証と接続の関係が、侵害を広げる経路になりました。

会社ごとに組織や責任者が分かれていても、認証基盤やネットワークを共有していれば、システム上ではつながっています。利用や管理をまとめる際には、相手側の端末やアカウントを奪われたとき、自社のどこまでアクセスされるかも考える必要があります。

LINEヤフーは、NAVER Cloudと共有していた認証基盤を分離し、従業員向けシステムやネットワークも分ける方針を示しました。会社間で許可する接続を絞り、従業員システムには二要素認証を標準化します。委託先からのアクセスにも、自社管理下のPCと二要素認証を徹底します。[2]

委託先のPCの感染から始まった事案ですが、対策は、そのPCの管理だけでは終わりませんでした。関係会社との認証・接続を見直し、侵害が自社へ及ぶ経路を制限する必要がありました。

関係会社や委託先と共同で仕事をする場合、情報共有やシステムの保守に必要な接続はあります。その際、誰が何の仕事をするのかを押さえ、必要なシステムと操作を具体的に決めることが出発点になります。

たとえば、あるシステムの保守を任せるためのアカウントで、別のシステムにも入れる必要があるでしょうか。共通の認証基盤を使う場合でも、利用者の所属や担当業務に応じて、接続先と権限を絞れているかを確認します。

• 誰が、何のために接続するか
  関係会社の社員、委託先、再委託先まで含め、利用者と業務を整理する。
• どこまでアクセスを許すか
  必要なシステム・情報・操作を決め、広すぎる権限や不要な接続を残さない。
• 相手側が侵害されたとき、どこで止めるか
  接続元の端末やアカウントを奪われた場合にも、アクセスを制限・遮断できるようにする。

組織再編やシステム統合の後も、過去の接続や権限が残ることがあります。現在の業務に照らして、会社をまたぐ認証・権限・通信の範囲を見直すことが、自社への被害の広がりを抑える対策になります。