ランサムウェア集団n0nが今週、金融テクノロジー企業Finzlyのファイアウォール設定ファイルやパスワード、鍵情報を公開した。機器は顧客銀行が利用する決済インフラに接続され、ファイルには米連邦準備制度理事会（FRB）への接続や、FedNow、FedACH向けの通信ルールも記載されていた。FRBは決済サービスに影響はないと説明。Finzlyはシステムの鍵と認証情報を更新し、銀行顧客のデータやシステムへのアクセス情報が漏えいした証拠は確認されていないとしている。
今回の問題は、Finzlyが銀行向けに提供する決済ネットワーク接続サービスに関わる。流出した設定ファイルが現在もシステムへのアクセスに使えるかは不明だ。一方、ファイルからネットワークの接続関係が分かる可能性があり、認証情報を更新した後も、銀行とサービス事業者による安全性の確認が必要となる。
流出ファイルにFRBへの接続情報
FinzlyのBankOSプラットフォームは、銀行をACH、Fedwire、FedNowなどの決済ネットワークに接続する。顧客は共通の接続基盤を通じて各サービスを利用する。同社ウェブサイトには先週時点で、銀行や信用組合の顧客11社が掲載されていた。
Finzlyの広報担当者は、同社が「システムの鍵と認証情報を更新した」と説明した。また、流出した設定情報だけでFinzlyのシステムやデータにアクセスすることはできないとしている。現在までの調査では、銀行顧客のデータやシステムへのアクセス情報が侵害された形跡はなく、顧客の業務にも影響は出ていないという。
同社は法執行機関に連絡し、外部の法律・フォレンジック専門家を起用した。顧客への連絡も始めており、規制当局や顧客と対応を進めている。
FRBの広報担当者は、FRBの決済サービスに影響はなかったと述べた。公開されたファイルからは、顧客データ、銀行データ、取引記録は確認されていない。ファイルに現在も有効なパスワードや鍵が含まれていたかどうかは、検証されていない。設定ファイルの注記には「2023 config」とあり、2023年に作成された可能性がある。
n0nは先週、決済インフラのネットワーク設定やアクセス鍵を公開すると脅し、当初金曜日としていた期限を火曜日の夜まで延長した。期限後にファイルが公開されたことから、Finzlyが身代金を支払わなかった可能性があるが、要求額は明らかにされていない。脅威情報会社Cyfirmaは、n0nが韓国企業に対して過去に要求した身代金は、ビットコイン建てで60万ドルから1,400万ドルだったと記録している。
不正アクセスを受けた機器や鍵の経路は不明
Finzlyによると、許可を得ていない第三者が、同社のバックアップデータセンターにある設定情報を保存した機器にアクセスした。ただし、その機器が今回のファイアウォールと同一かどうかや、侵入時期、攻撃者がどのようにアクセス権を得たかは明らかにしていない。
n0nが公開した6つのファイルのうち、5つはFortinet製FortiGateファイアウォールの設定とみられる。残る1つは設定の概要で、機器を「決済ゲートウェイ」と記していた。ファイルには「FED」と名付けられた直接接続のほか、FedNowとFedACHの通信に関するファイアウォールルールが含まれていた。概要には、設定内のパスワードと鍵が10月15日に復号されたとも記載されている。
ファイアウォールは通常、パスワードや鍵を暗号化して保存する。Fortinetは2019年、古いバージョンのファイアウォールソフトウェアで、設定ファイル内のパスワードを暗号化する際に、機器ごとに異ならないハードコードされた鍵を使っていたことを認めている。
サイバーセキュリティ企業Huntressの戦術対応担当チーフアナリスト、Michael Tigges氏は、攻撃者が設定ファイルを復号して鍵を取得した可能性は「十分にある」と指摘した。ただし、n0nが実際にどの方法を使ったかを示す公開情報はない。
認証情報の更新後もネットワーク構成の確認が必要
パスワードや鍵を更新すればアクセスに使う認証情報は変わるが、ネットワークの接続関係まで自動的に変わるわけではない。サイバーセキュリティ企業Sophosの脅威調査担当シニアディレクター、Rafe Pilling氏は、古いファイアウォール設定から、どの接続が信頼されていたかを把握できる可能性があると指摘した。今回のファイルにはFinzlyのクラウドシステムやFRBにつながる経路が示されており、システム間の通信方法を知る手掛かりになり得る。
セキュリティ企業Secure.comのエンジニアリング責任者、Waseem Ahmed氏も、ネットワーク構成やIPアドレス、トンネルの接続先、信頼関係は、パスワードより変更に時間がかかることが多いと述べた。古い認証情報が無効になっていても、流出したネットワーク図が攻撃者による標的の把握を早める可能性がある。
Tigges氏は、最悪の場合、流出したファイアウォール設定がネットワーク全体の掌握に利用されるほか、口座番号や金融取引などのデータ窃取、ランサムウェア攻撃のリスクを高める可能性があると説明した。ただし、n0nがこれらの鍵を使ってシステムへの侵入を試みたかどうかは分かっていない。Finzlyが不審な動きを身代金要求の前に把握していたのか、要求を受けて初めて知ったのかも明らかでない。鍵の更新がファイルの取得前だったのか、公開後だったのかについても説明はない。
銀行は認証情報の更新状況と接続ログを確認
サイバーセキュリティ企業Suzu Labsの最高技術責任者（CTO）、Denis Calderone氏は、取引先のファイアウォール設定が流出した銀行に対し、ファイルに記載された各認証情報や鍵がすべて更新済みか、事業者に確認し、裏付けを求めるよう勧めた。銀行は、事業者がFRBに連絡したかどうかも確認できるという。
Ahmed氏は、銀行が事業者との接続をすべて洗い出し、自行が管理する認証情報を更新するとともに、事業者から個別に求められるのを待たず、新しいVPN鍵について協議することを提案した。Calderone氏は、接続ログに不審な通信がないかを調べ、公開後の記録だけでなく、流出前の数カ月までさかのぼって確認するよう助言している。
現時点で公開ファイルに銀行顧客のデータや取引記録は確認されておらず、FRBの決済サービスにも影響は出ていない。今後確認が必要なのは、攻撃者がバックアップデータセンターの機器にいつ、どのようにアクセスしたのか、鍵を更新した具体的な時期、銀行と事業者の接続をさらに変更する必要があるかどうかだ。