知って得するセキュリティのはなし その100
水道システムへの不正アクセス…パスワードの使い回し等複数の穴が狙われる
1.このニュースをざっくり言うと
- 2月8日(現地時間)、フロリダ州ピネラス郡保安官より、同州オールズマー市の水処理システム制御パネルが同5日に不正アクセスを受け、飲料水内のpH安定用の水酸化ナトリウム濃度を100倍以上に上昇させる遠隔操作が行われたと発表されました。
- その後の調査結果の発表によれば、浄水場の職員が使うPCが複数のセキュリティ上の問題を悪用されて攻撃者に侵入され、そこを踏み台にして制御システムにアクセスされたとみられます。
- なお、不正な濃度設定は直後にオペレーターが異変に気付いたことで対応され、実害は出ていないとのことです。
2.執筆者からの所感等
- 職員のPCはリモートアクセスを行うため、遠隔操作ソフト「TeamViewer」がインストールされていたとのことですが、「OSがWindows 7」「TeamViewerを利用するためのパスワードが全PCで共通」「PCのファイアウォール設定が無効な状態でインターネットに接続されていた」といった複合的な問題があり、これらを悪用されたものとされています。
- PCに外部からリモートアクセスする機構を安全なものとするには、接続される側において、適切なユーザーであることを認証した上でアクセスを許可する(加えて場合によってはアクセス元IPアドレスを制限する等の)設定を行うことと、そもそも接続される側とする側の双方においてPC自体や周辺のネットワークがセキュアであることがやはり重要と言えます。
- また、前述した問題はそれぞれ単独でも攻撃者の侵入やマルウェアの感染を許す要素となり得ますので、現時点で見えている問題について一通り対策を行うこと、また見落としていた問題やあらたに問題として扱われる要素についても、見つかり次第可能な限り早めに対応することが、攻撃の余地を最小限に抑えるために有用です。
