議会ソリューションサービスに不正アクセスの疑い、横浜市会、千葉県議会など複数箇所で

まずはこの横浜市からのプレスリリースをご覧ください。

横浜市会インターネット中継システムへの不正アクセスについて
横浜市

令和５年４月11日(火曜日)16時に、横浜市会インターネット中継システム（以下、中継システム）の運用・保守業務を受託する事業者から連絡があり、中継システムに対して不正アクセスが生じていることが判明しました。
現在、中継システムを一時停止し、不正アクセスの全容及び詳細な影響範囲について調査を行っておりますが、復旧の時期は未定です。
市民の皆様に御迷惑をお掛けしておりますことを深くお詫び申し上げます。

議会を中継するシステムが不正アクセスを受けて、システムが中断されてしまったようです。

そして、これは横浜市だけではなく、同じソリューションを使用している他の地方自治体の議会中継に波及しているようです。

保守運用を受託している会社のプレスリリースはこちらからご確認いただけます。

議会ソリューションサービス　一時停止に係るお詫び

本件に関する経緯の引用をしてみます。

4月11日　サーバへの侵入・改ざんが目的とみられるID・パスワードを総当たりでアタックするサイバー攻撃を受け、一部のサーバへ侵入の形跡が発見された。

4月11日　被害拡大防止のため、サーバへの外部からのアクセスを遮断。

4月12日　システムの脆弱性を特定。

パスワード総当りのアタックといえば、「ブルートフォースアタック」が有名ですね。
少し解説してみたいと思います。

ブルートフォースアタックは、悪意のある人が不正なアクセスを試みる一般的な方法の一つであり、セキュリティ上の脅威となっています。

まず、ブルートフォースアタックとは何でしょうか？ブルートフォースアタックとは、悪意のある人が正当な認証情報を持たずに、総当たりでパスワードや暗号化された情報を解読しようとする攻撃手法のことです。つまり、簡単に言えば、全ての可能性を試し続けることで、正しいパスワードや鍵を見つけ出そうとする方法です。

ブルートフォースアタックは、多くの場合、パスワードを破るために用いられます。攻撃者は、自動化ツールを使用して、異なる文字や数字、記号の組み合わせを繰り返し試し、正しいパスワードを見つけ出そうとします。また、辞書攻撃というバリエーションもあり、一般的な単語や一般的に使用されるパスワードを総当たりで試す方法もあります。

ブルートフォースアタックの脅威は大きいです。攻撃者が十分な時間とリソースを持っていれば、あらゆるパスワードを解読し、システムに不正アクセスをする可能性があります。特に、弱いパスワードや一般的なパスワードを使用している場合は、攻撃者にとって破るのが容易なターゲットになります。

では、ブルートフォースアタックに対する対策は何でしょうか？以下にいくつかの対策方法をご紹介します。

強力なパスワードの使用: 長さが十分であり、大文字小文字、数字、記号が含まれるような複雑なパスワードを使用することで、ブルートフォースアタックを困難にします。
ログイン試行回数の制限: システムにおけるログイン試行回数を制限することで、ブルートフォースアタックを防止することができます。

CAPTCHAの導入: CAPTCHA（Completely Automated Public Turing test to tell Computers and Humans Apart）とは、人間とコンピュータを区別するためのテストのことです。ログイン画面にCAPTCHAを導入することで、自動化されたブルートフォースアタックを防ぐことができます。
二段階認証の利用: 二段階認証を導入することで、ログイン時にパスワードに加えて、別の認証方法（例: SMSやメールによるコードの送信）を要求することができます。これにより、不正なログインを防ぐことができます。
ログのモニタリング: システムログを定期的にモニタリングし、異常なアクセス試行を検出することで、ブルートフォースアタックを早期に発見し対応することができます。
システムの定期的な更新: システムやソフトウェアを最新の状態に保つことで、既知の脆弱性を修正することができます。これにより、ブルートフォースアタックによる侵入を防止することができます。

まとめると、ブルートフォースアタックは危険な攻撃手法であり、強力なパスワードの使用やログイン試行回数の制限、CAPTCHAの導入、二段階認証の利用、ログのモニタリング、システムの定期的な更新などの対策を実施することで、ブルートフォースアタックに対するセキュリティを強化することができます。セキュリティに関する対策は常に重要であり、適切な対策を講じることで、セキュリティの脅威から身を守ることができます。皆さんの大切な情報を守るために、セキュリティ対策を怠らずに行いましょう。

パスワードに関連するセキュリティインシデントの記事についてはこちらもご覧ください。