【2011年】認証局DigiNotar、侵入検知から約2か月で破産 損失612万ドル

何が起きたのか

DigiNotar はオランダの認証局でした。認証局は Web サイトが本物であることを示す電子証明書を発行する会社です。同社は Web サイト用のほか、手書きの署名と同じ扱いになる電子署名用や、オランダ政府の電子行政向けの証明書も発行していました。米国の VASCO が2011年1月に、総額1,000万ユーロ（約1,325万ドル）で DigiNotar を買収しました。

調査した Fox-IT の2012年の最終報告によると、最初の侵入は2011年6月17日で、外部に公開した Web サーバーからでした。侵入者は7月1日に認証局のサーバーがあるネットワークへ入り、7月10日に最初の偽の証明書を発行しました。7月19日、止まっていた自動の確認が復旧し、発行した証明書と社内の記録が合わないことが分かりました。VASCO の年次報告も2011年7月の検知としています。

同社は分かった偽の証明書を失効させ、7月末には封じ込めたと認識していましたが、Google の偽の証明書が残っていました。事件が表に出たのは8月28日で、イランの利用者が Google の掲示板にブラウザの警告を投稿したことがきっかけです。

EU のサイバーセキュリティ機関 ENISA の資料によると、Google や Skype を含む数百のサイトの偽の証明書が作られました。最終報告が確認した偽の証明書は531枚で、これがすべてではないとしています。

偽の Google の証明書はイランの利用者の通信の盗み見に使われました。ENISA の資料は期間を約2か月と書いていますが、最終報告は大規模な悪用を2011年8月の数週間としています。最終報告によると狙われたのは約30万人で、元になった IP アドレスは29万8,140件、95%がイランからでした。ENISA も最終報告も、この人数は目安だと断っています。

会社に何が起きたのか

• 2011年7月19日：偽の証明書に気づく
• 2011年8月28日：偽の Google の証明書の警告がネット上に投稿される
• 2011年8月30日：Fox-IT に調査を依頼
• 2011年9月3日：オランダ政府が運用の管理を引き継ぐ意向を公表
• 2011年9月14日：オランダの規制当局 OPTA が認証サービス事業者の登録を取り消す
• 2011年9月19日：破産を申し立て
• 2011年9月20日：ハールレム地方裁判所が破産を宣告し、管財人が経営を引き継ぐ
• 親会社の損失：2011年の非継続事業の損失は税引後で611万8,000ドル
• 売上：2011年の DigiNotar の売上は176万4,000ドル

なぜそこまで広がったのか

認証局が売っているのは信用です。ENISA によると、DigiNotar には攻撃者が作った偽の証明書の記録がすべてそろってはいませんでした。そのため、同社の大もとの証明書を各社のブラウザから外すしか方法がありませんでした。

最終報告によると、証明書を管理する8台のサーバーはすべて侵入されていました。ログは同じサーバーに保存されていて、書き換えられた跡もありました。不審な記録がないことを、何も起きていない証拠にはできません。発行したすべての証明書を信頼できなくなった理由はここにあります。

ENISA は顧客や当局にすぐ報告しなかったことを問題の1つに挙げ、Fox-IT の報告として、ウイルス対策がなかったこと、管理者のパスワードが弱かったこと、ログが足りなかったことも紹介しています。Fox-IT の中間報告は、公開サーバーのソフトが古いままで、証明書のサーバーはすべて1つの ID とパスワードで入れる状態だったとしています。DigiNotar は毎年、規格の監査を受けていました。

親会社と政府のその後

VASCO は認証局の事業を続けないと決め、買収で取得した知的財産は自社の製品に使うとしました。同社は2011年10月、破産に関連する損失を330万〜480万ドルと見積もりました。年次報告の611万8,000ドルには DigiNotar の事業の損失も含まれ、多くを占めるのは買収で計上したのれんと無形資産の償却です。米連邦取引委員会から調査の要求も受けましたが、不正を主張されてはいないと年次報告は書いています。VASCO 全体の2011年の純利益は1,810万ドルでした。

オランダ政府は DigiNotar への信頼を取り消し、政府のサイトの証明書を他社のものに差し替えました。DigiNotar の証明書を無効にする Microsoft の更新は、政府の要請でオランダでの配信を遅らせ、9月13日に出ました。

2012年2月の議会への書簡によると、政府向けの証明書の要件は厳しくなりました。環境の分離、職務の分離、毎月の自動スキャン、年1回の侵入テスト、ログと監視の強化です。各省には証明書の管理と利用の報告を求め、1社に頼らない方法として、複数の業者の利用や、重要な処理に別の業者の予備の証明書を用意することを挙げています。

中小企業が学ぶこと

信用が商品の会社では、事故の影響が1つの顧客にとどまらず、事業全体に及びます。資格や登録で成り立つ事業も同じです。登録が取り消されてから破産の申し立てまで5日でした。

監査に通っていることと、基本の対策ができていることは別です。ウイルス対策、パスワード、ログは自社で確かめておきましょう。ログは別のサーバーへ送り、侵入されたサーバーだけに残さない形にします。同社が気づいたのは止まっていた自動の確認が直ったときでした。定期の確認が動いているかを見る担当も決めておきます。

事故を知らせるのが遅れると、被害が広がる時間が延びます。同社では7月19日の検知から公になるまで40日ありました。買収の半年後に侵入が見つかった点は、会社や事業を買う側にも確認の必要があることを示しています。

オランダ政府の見直しは利用する側にも当てはまります。証明書、ドメイン、決済など1社に頼っているサービスを書き出し、止まったときの別の業者を決めておきましょう。