Grafana Labsが、GitHub環境に侵入され、ソースコードをダウンロードされたと公表しました。侵入に使われたのは、盗まれた access token です。
access token は、ざっくり言うと「この人は正規の利用者です」とサービスに証明するためのデジタルな鍵です。これが漏れると、パスワードを知らなくても、正規ユーザーのふりをしてアクセスされることがあります。
個人的には、ここがこの事件のいちばん嫌なところだと思います。派手なゼロデイ攻撃ではなく、まず「鍵を盗む」だけで中に入っている。攻撃としては地味なのに、効果はかなり大きいからです。
Grafanaは、今回の調査で顧客データや個人情報が漏れた証拠は見つかっていないとしています。さらに、顧客のシステム自体には影響がなかったとも説明しています。
つまり、少なくとも今回の時点では「Grafana自身の開発環境が狙われた事件」であり、利用者側のサーバーが直接やられたわけではなさそうです。
Grafanaは、データを見やすくグラフ化するための有名なオープンソース基盤です。監視、分析、リアルタイムの可視化に使われ、企業のシステム運用ではかなりおなじみの存在です。
記事によると、7,000以上の組織が利用しており、Fortune 50の70%が使っているとのこと。
この数字を見ると、単なる1社のトラブルではなく、開発基盤やソフトウェア供給網に関わる事件として重みがあるのがわかります。ソースコードは製品そのものの設計図のようなものなので、外に出ると厄介です。
Grafanaによれば、攻撃者は脅迫もしてきました。
「盗んだソースコードを公開されたくなければ金を払え」という、典型的な恐喝の流れです。
ただしGrafanaは、FBIの公開方針に従い、身代金は支払わないと決めました。理由としては、払ってもデータが戻る保証はなく、むしろ「払う会社がある」と思われると、同様の攻撃を増やしかねないからです。
この判断はかなり現実的だと思います。
被害を受けた側からすると「今すぐ止めたい」と思うのは当然ですが、払うことが次の被害者を増やすというのは、サイバー犯罪でよくある厄介な構図です。
Grafanaは、漏えいした認証情報の出どころを特定し、compromised credentials を無効化したと述べています。さらに、追加のセキュリティ対策も導入したとのことです。
ここで重要なのは、攻撃の後始末として「犯人を追う」だけでなく、
という、地味だけど超重要な作業をやっている点です。セキュリティ事故は、事件そのものより再発防止の設計で会社の実力が見えます。
今回の攻撃を主張しているのは、CoinbaseCartel という比較的新しい恐喝グループです。昨年9月に活動を始めたとされ、今年はすでに100件以上の被害者をデータ流出サイトに掲載しているとのこと。
このグループは、主にデータの窃取と恐喝を行うタイプです。
記事では、複数の研究者の見方として、CoinbaseCartel は ShinyHunters と Lapsus$ の関係者で構成されている可能性があるとされています。ただし、これは研究者の分析であって、確定事実として断言されているわけではありません。
また、ShinyHunters 側は BleepingComputer に対して、CoinbaseCartel は自分たちとは無関係だと話したそうです。
このあたり、名前の似たグループや派生関係が絡んで、外から見るとかなりややこしいです。正直、サイバー犯罪界隈の「誰と誰が同じ陣営なのか」は、一般人には追い切れないくらい入り組んでいます。
今回の事件でいちばん示唆的なのは、GitHubのような開発基盤が直接狙われることです。
昔ながらの「サーバーにマルウェアを入れる」攻撃だけでなく、今は
みたいな、ソフトウェアを作る側の道具が狙われます。
ここを破られると、完成品そのものより先に、設計図や内部情報が抜かれる。これはかなり面倒です。
個人的には、これからのセキュリティで本当に大事なのは「ソフトウェアをどう守るか」だけでなく、ソフトウェアを作るプロセス自体をどう守るかだと思います。開発環境の防御は、地味ですが最重要級です。
Grafanaの件は、派手な破壊よりも、認証情報の盗難から開発資産を抜き取るという、今どきの攻撃の典型を示しています。
被害としては、少なくとも現時点では
という状況です。
ソースコードが漏れると、すぐに一般ユーザーが直接困るとは限りません。ですが、将来の攻撃研究、脆弱性の発見、内部構造の把握など、いろいろな悪用につながる可能性があります。
だからこそ、こういう事件は「被害が軽そう」に見えても、実はかなり重い。そこが怖いところです。
参考: Grafana says stolen GitHub token let hackers steal codebase
