[DIARY] ARRL IT Security Incident Report｜ほぼ時々　むせん見聞録

公開日 2024年8月23日　最終更新日 2024年8月23日 by JE2UFF_Toshi

おはようございます。大気の状態が不安定で、昨日の夕方から雷雨が激しく明け方でもかなり大きな音で雷が轟いておりました。現在も雨は降っておりますが、本日はゴミの日なのでゴミを指定場所に持って行くため外に出ると、涼しくて気持ちよいですね。

台風10号の進路がだいぶ予測されてきましたが、紀伊半島に上陸しそのまま本州縦断コースがかなり濃厚になってきました。大陸の高気圧がもっと張り出してくれば、東にずれていくのですが、なかなか難しいそうですね。

来週には暴風圏内に入るのは、ほぼ確定情報になりますね。

さて、8月21日付けでARRLメンバーに対して、先般発生したARRLへの大規模ネット攻撃についての詳細レポートが発行されました。

今までARRLのHPで発表されていた内容より、かなり詳細に書かれておりました。

発端は

Sometime in early May 2024, ARRL’s systems network was compromised by threat actors (TAs) using information they had purchased on the dark web.
引用：ARRL IT Security Incident – Report to Members

となっており、殆どのオンサイトシステムとクラウドシステムにアクセスされてしまったようです。

そして

This serious incident was an act of organized crime. The highly coordinated and executed attack took place during the early morning hours of May 15. That morning, as staff arrived, it was immediately apparent that ARRL had become the victim of an extensive and sophisticated ransomware attack. The FBI categorized the attack as “unique” as they had not seen this level of sophistication among the many other attacks, they have experience with. Within 3 hours a crisis management team had been constructed of ARRL management, an outside vendor with extensive resources and experience in the ransomware recovery space, attorneys experienced with managing the legal aspects of the attack including interfacing with the authorities, and our insurance carrier. The authorities were contacted immediately as was the ARRL President.
引用：ARRL IT Security Incident – Report to Members

彼らの目的は、データを暗号化し使えなくするランサムウェア攻撃だったのでした。

ポイントは以下の部分で

Their ransom demands were dramatically weakened by the fact that they did not have access to any compromising data.
引用：ARRL IT Security Incident – Report to Members

TAは重要なデータにアクセス出来なかったことで、身代金は大きく下がったようですが、最終的に100万ドルの支払いに同意し対処したようです。

Today, most systems have been restored or are waiting for interfaces to come back online to interconnect them. While we have been in restoration mode, we have also been working to simplify the infrastructure to the extent possible. We anticipate that it may take another month or two to complete restoration under the new infrastructure guidelines and new standards.
引用：ARRL IT Security Incident – Report to Members

現在は殆どのシステムは復旧していますが、復旧作業をしながら今まで課題となっていたシステムの簡素化も行っているため、完全復旧には未だ1～2ヶ月が必要のようです。

レポートの最後には以下の文章で締めくくられています。

Although we are not entirely out of the woods yet and are still working to restore minor servers that serve internal needs (such as various email services like bulk mail and some internal reflectors), we are happy with the progress that has been made and for the incredible dedication of staff and consultants who continue to work together to bring this incident to a successful conclusion.
引用：ARRL IT Security Incident – Report to Members

まだ完全に危機を脱したわけではなく、内部のニーズに対応する小規模サーバー (バルクメールなどのさまざまなメールサービスや一部の内部リフレクターなど) の復旧に取り組んでいる状況のようですね。

このように、会員に対して起こった状況と対策、実際に支払った身代金の金額など、会員向けに詳細報告をするのはどこかの団体も見習って欲しいです。

実際に発生し、対処していた時期ではML等に対応状況等について利権がらみで有ることなどが投稿されたりしておりましたが、最終的に身代金の金額まで表記しているのには驚きました。

DXCCのエンドーズメントなどは、完全復旧までに未だ1～2ヶ月は必要そうですね。

本内容はARRLメンバーでなくても、以下のURLで読む事ができます。メンバーに対しては、直接送られたようですね。