MOVEit Transfer 大規模情報漏洩 (2023年5月)（ムーブイットマス情報漏洩）
Progress Software社のMFT製品「MOVEit Transfer」の脆弱性を突いた、2023年に発生した大規模なゼロデイ攻撃。SQLインジェクションにより、数千の組織から膨大な個人情報が流出した。
概要
2023年5月に発覚した、Progress Software社のManaged File Transfer (MFT) 製品「MOVEit Transfer」を標的としたゼロデイ攻撃事件。Cl0pランサムウェアグループがSQLインジェクションの脆弱性（CVE-2023-34362）を悪用し、世界中の政府機関、金融、医療、小売などの重要組織から膨大な個人情報（PIPI）を窃取した。この攻撃は、単なるデータの暗号化による身代金要求ではなく、「データの窃取と公開」を主目的としたエクスフィルトレーション型攻撃の典型例であり、サプライチェーン攻撃の脅威を世界に知らしめた。
この事案では、米国証券取引委員会（SEC）などの規制当局も被害の影響を受けており、単一企業のセキュリティ問題を超え、グローバルな経済・社会インフラへの脅威として認識された。攻撃者は、信頼された通信経路であるMFT製品の脆弱性を突くことで、直接的な防御壁を回避し、その先の二次的なターゲットへと侵入を拡大させた。
攻撃特性の詳細
| 項目 | 内容 | | :--- | : | | 脆弱性識別子 | CVE-2023-34362 | | CVSS v3 スコア | 9.8 (Critical) | | 主導攻撃グループ | Cl0p Ransomware Group | | 攻撃手法 | SQL Injection による権限昇格・データ抽出 | | 被害対象の性質 | MFT（管理型ファイル転送）を利用するサードパーティ組織 | | データ流出規模 | 数千の組織、数千万件超の個人識別情報 (SSN等) |
標的化されたMFT製品における脅威比較表
Cl0pグループは、特定の脆弱性を持つファイル転送製品を連続的に狙う傾向がある。攻撃手法の進化に伴い、防御の焦点も変化している。
| 製品カテゴリ | 代表的な攻撃対象例 | 攻撃の共通点 | リスク管理の焦点 |
|---|---|---|---|
| Managed File Transfer (MFT) | MOVEit, GoAnywhere, Accellion | 信頼された通信経路の悪用、SQLi/認証回避 | ベンダーリスク管理 (VRM) |
| 一般的なFTPサーバー | 自社運用FTP | 設定不備、古いプロトコル | パッチ管理・暗号化 |
| クラウドストレージ | S3, Azure Blob 等 | 設定ミス（公開設定） | IAM / 権限最小化原則 |
関連用語との違い
- サプライチェーン攻撃 vs 直接攻撃: 直接攻撃が自社サーバーの脆弱性を狙うのに対し、本件は「信頼されている外部ツール」の脆弱性を突いて、その先の顧客データへ到達する手法である。防御側にとって、自社だけでなく取引先のセキュリティレベルが直接的なリスクとなる。
- ゼロデイ攻撃 vs 既知の脆弱性: 修正プログラムが存在しない状態で悪用される点が特徴であり、従来のシグネチャベースの検知では対応が極めて困難。事後的なインシデントレスポンスが重要となる。
- ランサムウェア vs エクスフィルトレーション（窃取）: 従来の「データを暗号化してシステムを停止させる」手法から、「データを盗んで公開すると脅す」手法へのシフトを象徴している。これにより、バックアップによる復旧だけでは被害を防げない状況が生まれている。
FAQ
Q1: なぜこれほど広範囲な被害に拡大したのか？ A1: MFT製品は、組織間での安全なデータ受け渡しを担う「ハブ」として機能しているためです。一つの脆弱性が、その製品を利用してデータを集約・転送している数百のクライアント企業へ連鎖的に波及しました。攻撃者はこの「ハブ」の特性を理解し、効率的な大規模流出を狙いました。
Q2: 攻撃者はなぜファイルを暗号化しなかったのか？ A2: Cl0pは「データの窃取と公開」による脅迫（Double Extortion）に特化していました。ファイルを暗号化してシステムを停止させる手間を省き、機密情報の流出という取り返しのつかないダメージを与えることで、より効率的に身代金を要求する戦略をとったためです。これにより、可用性の確保（バックアップ）だけでは不十分な脅威となりました。
Q3: 2025年以降の企業セキュリティはどう変わるべきか？ A3: 「境界防御」のみでは不十分であり、Vendor Risk Management (VRM) の高度化が必須です。SBOM（ソフトウェア部品表）を活用した脆弱性管理や、サプライチェーン全体の信頼性を継続的に監視する「ゼロトラスト・アーキテクチャ」への移行が、現代の企業防衛における標準的な要件となっています。また、AIを用いた異常検知によるエクスフィルトレーションの早期発見も重要です。