業務委託先の不正アクセス–Oktaが直面した対応プロセスでの難しさ

今回は「業務委託先の不正アクセス–Oktaが直面した対応プロセスでの難しさ」についてご紹介します。

関連ワード (セキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 ID・アクセス管理のクラウドサービスを手掛けるOktaは、2022年1月に取引先で発生した不正アクセスによるセキュリティインシデントへの対応に迫られた。事前に講じていた技術的対策によって同社と顧客への被害を防いだが、委託先とのやりとりでは困難な状況にも直面したという。事態に対処したAPJ担当リージョナルCSO シニアディレクターのBrett Winterford氏に、当時の詳しい経緯やこの対応で得た教訓などを話してもらった。

 今回のインシデントが発生したのは、Oktaがカスタマーサポートの対応業務を委託していたSitelになる。Sitelは約16万人の従業員を抱え、テクノロジーや金融、政府系を中心とした顧客のカスタマーサポート関連業務を受託して世界的にビジネスを展開している。

 Winterford氏によれば、SitelではOktaの顧客からの問い合わせに、Sitelの数人のカスタマーサポートエンジニアによるチームが対応していた。カスタマーサポートエンジニアが業務で利用するシステムはSitel内部に構築されており、ID管理の基盤にはActive Directory(AD)を利用していたという。

 顧客の情報はOkta側で管理されており、Sitelのカスタマーサポートエンジニアが顧客の情報を参照する時は、Okta側のシステムにアクセスする必要がある。その際には、まずSitel内部での認証を経てSitel内部にある仮想ワークステーションに接続する。そこからOkta側のシステムへのアクセスをOktaの認証情報で要求し、IDとパスワードに加えて別の認証方法を併用した多要素認証を行っていた。

 Oktaでは、Sitelなどの外部システムからOktaのシステムに対するアクセスを常時監視しているとのこと。インシデントは、2022年1月21日にOktaの監視でSitelからの通常のアクセスでは見られない不審な2つの動きを検知したことで発覚した。

 不審な動きの1つは、不自然なパスワードリセットの要求だったという。Winterford氏によると、パスワードリセットの要求は、Sitel内の仮想ワークステーションから行われる通常アクセスとは異なるネットワークからもたらされた。

 もう1つは、パスワードリセットの要求における正規ユーザーの反応だった。通常ではパスワードリセットの要求が発生すると、その要求が正しいものかをOktaが確認するために、正規ユーザーに多要素認証を要求しているという。この時は、パスワードリセットの要求したであろうはずのSitelのカスタマーサポートエンジニアが、リセットの実行に必要な多要素認証を拒否した。エンジニア本人がパスワードリセットの要求したのであれば、Oktaの多要素認証を実施しているはずである。

 また、パスワードリセットの要求に対するOktaの多要素認証は、ユーザーが指定しているメールアドレスに対して送信する仕組みだった。だがこの時は、正規のユーザーが指定しているメールアドレスではなく、Sitelの従業員が利用するMicrosoft 365サービスのメールアドレスに多要素認証の通知が行われた。この点にも不審さが認められたという。

 Winterford氏は、「これら複数の不審な兆候を検知したことにより、われわれはSitel側で不正アクセスのインシデントが発生している可能性を疑った。そこで、まず今回のOktaへのアクセス要求を拒否した上で、Sitelに対してインシデントの疑いを調査するよう求めた」と話す。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
日本株に今「強気」の理由–プロが実践、売り買いの3原則
IT関連
2021-04-07 19:33
デル・テクノロジーズ、ハイエンドストレージの新製品発売
IT関連
2022-08-24 04:54
ゲリラ豪雨の予報にスパコン「富岳」活用へ 理研などが実証実験
ネットトピック
2021-07-15 04:33
日立と静岡銀行、勘定系システム開発への生成AI適用に向けて検証開始
IT関連
2024-10-17 09:42
オープンソース放棄の落とし穴–プロプライエタリー化が招く成長の停滞とユーザー離れ
IT関連
2025-02-14 01:19
自然言語処理ライブラリをオープンソースで提供するHugging Faceが43.6億円調達
ソフトウェア
2021-03-15 09:35
AIの活用がコミュニケーションの活性化に–ZVC JAPAN・下垣社長
IT関連
2024-01-11 01:47
東急ストア、「ルミネ町田」の従業員休憩室前に無人決済店舗開店へ–TTGとの協業店拡大
IT関連
2024-09-01 15:33
日銀の「ステルステーパリング」続く–中央銀行は最強のファンドマネージャー?
IT関連
2021-02-04 07:20
「GNOME」デスクトップの使いやすさを高める小技5選
IT関連
2024-05-24 07:08
SMBC日興証券、営業社員の貸与携帯電話に「LINE WORKS」を導入
IT関連
2022-08-30 18:57
鳥取市、市街地で自動運転バスの実証実験–信号連携や夜間運行なども調査
IT関連
2024-11-24 10:03
ダブリンのExergynは形状記憶合金を使って温室効果ガスの原因となる冷媒を代替
IT関連
2022-01-23 06:04
AI専門組織を設置する日本企業は米英独の半分–ガートナーが分析
IT関連
2024-05-10 23:00