• Microsoft の Exchange Online ホスティングメールサービスへの攻撃に関する調査により、このインシデントは Microsoft の緩んだ情報セキュリティ文化に加え、回避可能であったことが判明した。
  • Microsoft は公開記録を修正する動きが遅いと批判されている。
  • Microsoft は現在の脅威環境に対処するためのレガシーインフラストラクチャの再構築を十分に優先していないようだ。

サイバー攻撃は予防可能である

2023 年 6 月の Microsoft の Exchange Online ホスティングメールサービスへの攻撃の調査により、Microsoft の緩んだ情報セキュリティ文化と不十分なクラウドセキュリティ対策がなければ、このインシデントは回避できたであろうことが判明した。

米国政府のサイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA) のサイバーセキュリティ審査委員会 (CSRB) が実施したこの調査は、Microsoft に「迅速な文化変革」を求めている。委員会の勧告には以下のようなものがある。

Microsoft の顧客は、CEO と取締役会がセキュリティ文化に直接注力し、ビジネス全体と製品群全体にわたってセキュリティを中心とした根本的な変革を実施するための具体的な期限付き計画を策定し、公表することで利益を得るだろう。

CEO はプログラムの実施について上級幹部に責任を負わせるべきである。

Microsoft のリーダーシップは、リソースをめぐる競合をなくすために、大幅なセキュリティ改善が行われるまで、クラウドインフラストラクチャと製品スイートの機能開発の優先度を下げるよう社内チームに指示することを検討すべきである。

新しい機能を展開する前に、セキュリティリスクを完全かつ適切に評価し、対処する必要がある。

この強い言葉は、攻撃が「Microsoft による回避可能なミスの連続」に起因するという見解を受けてのものだ。

関連記事:Microsoft と Epic がインディーゲームへの投資を削減

攻撃の責任の所在

CSRB の報告書（PDF）は、消費者のためにソフトウェア大手のクラウドサービスを動かしている ID 管理システムである Microsoft サービスアカウント（MSA）の保護に使用されるキーローテーションの慣行に攻撃の責任があるとした。

MSA は 2000 年代初頭に、署名キーのローテーションや無効化の自動プロセスなしで設計された。その結果、Microsoft は手動でキーを管理していたが、その慣行が大きなクラウド障害を引き起こした後、2021 年に管理を停止した。

そのため、Storm-0558 が 2016 年に作成されたキー（本来は無効化されているべきもの）を入手したことで、消費者向けに提供されていた Outlook Web Access バージョンへのアクセスが可能になった。事態はそこからさらにエスカレートし、Microsoft のシステムの欠陥により、2016 年の MSA キーは、MSA 作成によって管理される消費者向けサービスだけでなく、企業の電子メールアカウントへのアクセスを許可するトークンを作成できることが判明した。その結果、Storm-0558 は、米国国務省などの Microsoft の顧客にアクセスできるトークンを作成することができた。このグループはまさにそれを行い、同省の約 60,000 通の電子メールと全従業員の電子メールアドレス一覧を盗み出した。

報告書は、他のクラウドプロバイダーはキーローテーションやその他のセキュリティ管理の実装において優れている一方で、Microsoft はそうではないと指摘している。その結果、報告書は Microsoft が自社のキーの流出を検知できなかったことを批判している。

Microsoft はまた、公開記録の修正への取り組みが遅いことでも批判されている。レドモンドの本社は、攻撃が可能になったのは、インターネットに接続されたデバッグ環境に移動されたクラッシュダンプにマスター暗号化キーが含まれていたためであると主張した。しかし、Microsoft はこの説を証明したことがない。

セキュリティリスク管理の軽視

報告書のもう一つのテーマは、Microsoft が「セキュリティリスク管理を、世界中の 10 億人以上の顧客にとっての Microsoft テクノロジーの脅威や極めて重要な重要性に見合ったレベルに置いていない」ということだ。

調査官は Microsoft のマルチクラウドの競合他社を検討し、彼らが Windows の巨人よりも慎重であることを発見した。「Microsoft は現在の脅威環境に対処するために、レガシーインフラストラクチャの再構築を十分に優先してこなかった」と著者らは結論付けた。