アメリカの核兵器の設計と維持を監督する国家核安全保障局は、最近の Microsoft SharePoint へのハッキングによってシステムが侵害された機関の一つである。.
匿名の情報筋によると、NNSAの侵害では機密データや機微なデータは盗まれていないようだ。侵害について質問されたNNSAは、すべての問い合わせをエネルギー省に回した。エネルギー省は、より広範な責任の一環として政権を監督している。
「7月18日金曜日、Microsoft SharePointのゼロデイ脆弱性を悪用した攻撃がエネルギー省に影響を及ぼし始めた」と同省の広報担当者は述べた。.
「当局はMicrosoft M365クラウドと高性能なサイバーセキュリティシステムを広く活用していたため、影響は最小限に抑えられました。影響を受けたシステムは少数でした。影響を受けたシステムはすべて復旧中です。」
NNSAは核兵器の管理にとどまらず、幅広い任務を遂行しています。海軍潜水艦隊用の原子炉の建造、国内外の緊急事態への対応、全米における核兵器の安全輸送、そして対テロ活動の支援などを行っています。.
ハッカーがサードパーティ製ツールを介してNNSA関連のネットワークに侵入したのは今回が初めてではない。2020年には、NNSAはネットワーク管理ソフトウェアを提供するSolarWinds社への攻撃の標的となった。当時、エネルギー省はマルウェアは「企業ネットワークのみに限定されていた」と述べていた。
マイクロソフトは中国の国家支援ハッカーのせいだと非難した
この侵害はSharePointプラットフォームの脆弱性を悪用し、政府機関や企業に被害をもたらしました。ブルームバーグの以前の報道によると、攻撃者はユーザー名やパスワードなどのサインイン情報に加え、トークンやハッシュコードも盗んだケースもありました。
この侵害はエネルギー省だけでなく、中東および欧州各国政府のシステム、さらには教育省、ロードアイランド州議会、フロリダ州歳入省など米国の複数の政府機関にも及んだ。.
捜査当局は、侵入の全容はまだ解明されていないと述べている。このソフトウェアの欠陥は、MicrosoftのクラウドサービスではなくローカルでSharePointを実行している組織に影響を及ぼし、特にオンプレミスでのインストールが危険にさらされる。.
火曜日のブログ投稿、中国と関連のある2つのハッキングチームの名前を挙げました。Violet TyphoonとLinen Typhoonです。また、同様の戦術を用いてシステムに侵入するStorm-2603と呼ばれる3つ目のグループについても言及しています。
グーグル傘下のサイバーセキュリティ企業マンディアントの最高技術責任者チャールズ・カーマカル氏は月曜日、リンクトインへの投稿で「初期の攻撃に関与したアクターの少なくとも1人は中国と関係のある脅威アクターだと我々は評価している」と述べた。
米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は日曜日、SharePointの脆弱性が「積極的に悪用されていることを認識している」と確認した。マイクロソフトはこれに対し、SharePointのローカルバージョンにパッチをリリースし、月曜日には3つ目の修正プログラムをリリースした。.
SharePointはMicrosoft Officeスイートの中核を成すものです。コラボレーションハブとして機能し、組織内の従業員が中央ポータルを通じて共有ファイルやドキュメントにアクセスできるようにします。.
マイクロソフトは過去にも中国のハッカー集団から攻撃を受けている
昨年、中国当局者の電子メールアカウント侵害に対するマイクロソフトの対応が政府報告書で厳しく批判されたことを受けて、マイクロソフトの最高経営責任者（CEO）サティア・ナデラ氏はサイバーセキュリティを同社の最優先事項であると宣言した。.
マイクロソフトは今月初め、国防総省に提供しているクラウドサービスについて、中国のエンジニアに依存しないことを顧客に伝えた。このクラウドサービスによって米国の防衛システムが攻撃される可能性があるとのメディア報道を受けてのことだ。.
2021年には、中国と関連のあるハフニウムと呼ばれる別のグループが、マイクロソフトのExchange Serverソフトウェアの別の脆弱性を悪用して、世界中の組織のネットワークに侵入した。.
ワシントンの中国大使館は記者団に送った電子メールの声明で、北京は「あらゆる形態のサイバー攻撃」に反対し、「確固たる証拠なしに他者を中傷すること」に警告したと述べた。
セキュリティ研究者がこの脆弱性を初めて発見したのは、5月にトレンドマイクロがベルリンで開催したハッキングコンテストでした。このイベントでは、未公開のソフトウェアバグを発見した人に cash が贈られました。SharePointを標的としたゼロデイ脆弱性を発見した人には10万ドルの賞金が用意されており、こうした隠れた脆弱性がいかに大きなリスクを伴うかを浮き彫りにしました。.
