HAFNIUM Exchange ProxyLogon（ハフニウムエクスチェンジプロキシロゴン）
2021年3月公開のMicrosoft Exchange Server CVE-2021-26855。中国APT 30万サーバ侵害・緊急パッチ騒動。
概要
HAFNIUM Exchange ProxyLogonは、Microsoft Exchange Server 2013/2016/2019の重大な認証バイパス脆弱性CVE-2021-26855+関連3件（CVE-2021-26857、CVE-2021-26858、CVE-2021-27065）の総称で、2021年3月2日にMicrosoftが緊急セキュリティ更新を公開した史上最大規模のゼロデイ＋Nデイ APT攻撃事件。米Volexity社のSteven Adairが2021年1月初旬に発見・報告し、Microsoft が緊急対応を進めていたが、2月末-3月2日に攻撃の急増が観測され緊急公開に至った。中国国家関与のAPTグループ「HAFNIUM」が初期にゼロデイとしてExploit、その後3月2日のパッチ公開と同時にエクスプロイトコードが各種APTグループ間で共有・公開され、3月初旬の1週間で世界の30万台以上のExchange Serverが侵害されるという、サイバーセキュリティ史上最も急速で広範な侵害事件となった。ProxyLogonという愛称は脆弱性の手法（Exchangeのプロキシ経由でログイン認証をバイパス）に由来し、攻撃者はWebshell（China Chopper等）を植え付けて永続的バックドアを確保、メール内容の窃取・追加マルウェア展開・横展開侵入を実施した。被害は米国の中小企業から欧州政府機関まで広範に及び、米CISAは緊急指令ED 21-02を発令して米連邦機関に即時対応を義務付け、米FBIは前例のないオペレーションとして裁判所許可の下で被害サーバから攻撃者のWebshellを直接削除（FBI authorized intrusion）する措置を実施（2021年4月）、米司法省は「不正アクセス防止法」の積極的解釈として議論を呼んだ。中国側は関与を否定。続くProxyShell（CVE-2021-34473他、2021年8月）・ProxyToken（CVE-2021-33766、2021年8月）等の関連Exchange脆弱性が2021年中に連続発覚し、Microsoft Exchange Server オンプレミス運用のセキュリティリスクが業界に強く認識される契機となった。2024年現在もパッチ未適用Exchangeサーバが多数残存していると報告されており、長期的影響が続く事件。
主な特徴・仕組み
- CVE: CVE-2021-26855（ProxyLogon、認証バイパス）+3件関連
- CVSS: 9.8（CVE-2021-26855）
- 影響バージョン: Exchange Server 2013/2016/2019（オンプレミス）
- 公開日: 2021年3月2日（Microsoft緊急更新）
- 発見者: Steven Adair（Volexity社、2021年1月）
- 国家関与: 中国HAFNIUM（Microsoft特定2021年3月）
- 攻撃手法: 認証バイパス→Webshell植え付け→永続バックドア
- ピーク侵害: 30万サーバ（2021年3月初旬1週間）
- 主要被害: 米中小企業多数、欧州政府機関、Norway議会等
- FBI対応: ED 21-02、Webshell強制削除作戦（2021年4月）
- 連続関連: ProxyShell（2021/08）、ProxyToken（2021/08）
スペック比較表
| 攻撃 | 公開年 | 国家関与 | 影響規模 | CVSS |
|---|---|---|---|---|
| HAFNIUM ProxyLogon | 2021/03 | 中国 | 30万サーバ | 9.8 |
| SolarWinds Sunburst | 2020/12 | ロシアSVR | 18,000組織 | - |
| Log4Shell | 2021/12 | 多国 | 全Java | 10.0 |
| WannaCry | 2017/05 | 北朝鮮 | 23万PC | 8.1 |
| NotPetya | 2017/06 | ロシアGRU | 多国籍 | - |
具体例・対応製品
- CVE-2021-26855 ProxyLogon: 認証バイパス、最重要
- CVE-2021-26857: Unified Messagingデシリアライゼーション
- CVE-2021-26858: 任意ファイル書込
- CVE-2021-27065: 任意ファイル書込（別経路）
- Microsoft緊急更新KB5000871 (2021/03/02): 全パッチ統合
- 発見 Volexity Steven Adair (2021年1月): 初期通報
- 対策 Microsoft Safety Scanner: Exchange特化スキャン
- 連続 ProxyShell (CVE-2021-34473他、2021/08): Exchange追加脆弱性
- FBI Webshell削除作戦 (2021/04): 裁判所許可下で強制削除
自作PCでの選び方・注意点
HAFNIUM ProxyLogonはMicrosoft Exchange Server オンプレミス運用組織が直接対象で、個人ユーザー・自作PC直接の影響なし。ただしExchange Server運用組織にメール送受信する全員は間接的影響対象。Exchange運用対策として、①Microsoft 365 Exchange Online への移行（オンプレミス Exchange からクラウド Exchange への完全移行が抜本対策）、②自動更新有効化、③Webshell検出スキャン定期実行、④EDR/XDR導入、⑤Exchange管理者の最小権限化等が標準的対策。個人レベル対策として、Exchange運用組織から受信した過去メールが盗まれた可能性を前提に、機密情報の取扱い見直し+アカウント認証情報の更新+多要素認証MFA有効化が推奨される。Microsoft Exchange Server オンプレミス版は2025年10月にExchange Server 2019のメインストリームサポート終了が発表されており、長期的にクラウド移行が業界標準となる流れ。
関連用語との違い
SolarWinds Sunburst（2020年12月、ロシアSVR、18,000組織影響）はサプライチェーン攻撃でHAFNIUM の直接エクスプロイトとは性格が異なる。両者ともAPT国家関与だが、SolarWindsはロシア系・長期諜報、HAFNIUMは中国系・大規模急速侵害で対照的。Log4Shell（2021年12月、CVE-2021-44228、CVSS 10.0）はJava全体影響でExchange特化のHAFNIUMより広範。ProxyShell（CVE-2021-34473他、2021年8月）はHAFNIUMの直接後継的位置づけで、同じExchange Server 2013/2016/2019標的。
よくある質問（FAQ）
Q1: なぜFBIが直接サーバから削除した？ A: 2021年4月13日、米FBIは裁判所許可（Authorized Intrusion）の下で、ProxyLogon侵害された米国内の数百Exchange ServerからWebshellを所有者の許可なく強制削除。未パッチ放置サーバが他組織への踏み台化する公衆衛生リスクを防ぐためで、米司法省が不正アクセス防止法の積極的解釈として実施した前例ない措置です。
Q2: なぜ30万サーバも侵害された？ A: ①CVE-2021-26855の高い悪用容易性（CVSS 9.8）、②エクスプロイトコード公開後の急速な拡散、③Exchange Server運用組織の多くがパッチ適用遅延、④Microsoft Exchange Server オンプレミスが世界中の中小企業まで広範に運用されている、⑤侵害発覚から完全駆除までに通常2-3週間以上必要、の5要素複合です。
Q3: 中国HAFNIUMは公式に特定？ A: 2021年3月2日にMicrosoftが「国家関与の高度持続的脅威グループHAFNIUM」として特定、米英EU 30ヶ国以上が2021年7月19日に中国国家関与を共同声明で認定。中国側は関与を否定していますが、米国国家サイバーセキュリティ報告書（2024年）でも中国関与として継続的に分類されています。
まとめ
- 2021年3月2日Microsoft緊急公開・CVE-2021-26855 ProxyLogon
- Exchange Server 2013/2016/2019認証バイパス脆弱性
- 中国HAFNIUM国家関与・30万サーバ侵害
- FBI Webshell強制削除の前例ない措置
- Microsoft Exchange Online移行加速の起点