雪かきを手伝ってくれる親切な新入社員かと思ったらネットワーク管理者権限を奪われた事例

雪の積もった日に会社の出入口で「新しく入ったIT担当です。社員証がまだ使えません」と名乗る人物が現れ、雪かきを手伝ってくれたため社内に入れたところ、会社のドメイン管理者権限まで奪われたという事例をThe Registerが報じています。

幸いなことに侵入者は犯罪者ではなく、企業から依頼を受けて弱点を探すレッドチーム、つまり許可を得て侵入テストを行う専門家でした。

攻撃者目線でセキュリティ検証を行うコンサルタントのクリストファー・ジョンソン氏と同僚のマイケル氏は、顧客のセキュリティをテストするため、雪かきのために開いていた管理用ドアから社内へ入りました。

保守担当者が2人を呼び止めましたが、2人は「新しいIT担当だが社員証がまだ動かない」と説明し、さらに「滑って転びそうになったので雪かきを手伝います」と申し出ました。

マイケル氏が雪かきを手伝っている間に、ジョンソン氏が「マイケルのノートPCを設定したいので2階に入らせてほしい」と依頼すると、保守担当者はジョンソン氏を建物内に通したとのこと。ジョンソン氏は建物へ入ると社内ネットワークへ接続できる場所を探し始めました。

ジョンソン氏が使ったのはRaspberry Piという手のひらサイズのコンピューターでした。Raspberry Piを社内の有線LANポートに接続できれば、攻撃者は建物の外からRaspberry Piを遠隔操作して社内ネットワークを調べられます。

ジョンソン氏はAV機器用の収納スペースにRaspberry Piを接続しようとしましたが、会社は許可されていない機器の接続をブロックするネットワークアクセス制御を有効にしていたため接続できませんでした。

ところが、会議室にあった別のネットワークポートではネットワークアクセス制御が有効になっていませんでした。ジョンソン氏は会議室の中央付近にRaspberry Piを置き、見つかりにくくするためにゴミ箱で隠したとのこと。