要約

  • SanjayaとCarlos Martinezは、2025年7月9日、10日、12日に起きたLACNICアドレス空間の短時間の乗っ取りを発表した。
  • 攻撃者は正規のASN保有者を装う偽の社用紙と類似ドメインでトランジットを得た。保有者自身も被害者だった。

メールが送信側では受け付けられ、相手には届かない。LACNICの窓口に寄せられたこの小さな異変は、BGP経路の乗っ取り三件につながった。発生は2025年7月9日19時47分、10日20時34分、12日10時13分、いずれもUTC−3。継続時間は約20分、15分、5分だった。短いからこそ、後でたどるには厄介だ。

APNICのSanjayaとLACNICのCarlos MartinezはAPNIC 61の発表資料で調査を示した。LACNICからAPNICへ、さらにインドネシアのAPJII/IDNICへ連絡が渡った。対象ASNの本当の保有者は小規模なISPで、問題のトランジットを発注していない。攻撃者はその会社のレターヘッドと似せたドメインを使い、多国籍のトランジット事業者にBGP接続を開かせた。盗用したASを中継点にし、別の偽装した起点ASNから短い経路広告を流した。

LACNICの共同執筆記事は、正規のISPも被害者だったと明記する。保有者から報告を受けた事業者は不正なセッションを停止し、APJII/IDNICと保有者は最終報告を両RIRに共有した。APNICの会議報告にも共同発表が残る。公開資料には流出トラフィック量の数字はない。確認できるのは、偽の顧客に経路を広める入口が与えられた事実だ。

Sanjayaが突き止めたのは、ルーターの手前にある人間の承認だった。顧客の肩書きを信じて接続を開けば、BGPはその判断を忠実に拡大する。