ゆめさくセキュリティ

2021年5月8日、エネルギー (燃料パイプライン)

Colonial Pipeline のランサムウェア被害

入口

使われていないはずの古い VPN のプロファイルが悪用された。その VPN は多要素認証が無くパスワードだけで通ったことを、CEO が上院の公聴会で認めた

決め手の失敗

不要になった遠隔接続の入口が残り、パスワードだけで入れた。IT の網で身代金を求める文が見つかったあと、マルウェアが設備を動かす側 (OT) の網へ広がらないよう、パイプライン全体を止めた

被害

5,500マイルを超えるパイプラインの全線を停止し、5月12日夕方に再開を始めた。約75ビットコインの身代金を支払い、司法省はそのうち63.7ビットコイン (約230万ドル) を押収した

防げた対策

  • 遠隔接続への多要素認証
  • 使わないアカウントと VPN プロファイルの削除
  • IT と OT の分離と停止判断の事前設計
  • 法執行機関への早期通報

時系列

  1. 2021年5月7日IT ネットワーク上で身代金要求の文面が見つかり、全線を停止した
  2. 2021年5月8日同社が攻撃を受けて一部システムを止め、パイプラインの運用が一時停止したと声明を出した (確認できた最古の保存版の日付)
  3. 2021年5月10日FBI が DarkSide のランサムウェアによる侵害だと確認した
  4. 2021年5月11日CISA と FBI が共同の勧告 AA21-131A を出し、パイプライン会社の IT の網に DarkSide のランサムウェアが使われたと書いた
  5. 2021年5月12日全パイプラインの運転再開を始めた
  6. 2021年6月7日米司法省が身代金の一部 63.7ビットコインの押収を発表した
  7. 2021年6月8日CEO が上院国土安全保障・政府問題委員会の公聴会で証言し、古い VPN プロファイルの悪用と、その VPN が多要素認証なしだったことを説明した

攻撃した側について

当局 (FBI、2021年5月10日) が DarkSide のランサムウェアによる侵害と確認した。CISA と FBI の共同の勧告 (AA21-131A) も、パイプライン会社の IT の網に DarkSide のランサムウェアが使われたと書いている。被害企業も DarkSide による攻撃と証言している。DarkSide は本データセットの攻撃者一覧に含めていない

学べるレッスン

出典

2026年10月24日に開いて確かめました。