企業のパソコンを遠隔で管理するツール「スクリーンコネクト（ScreenConnect）」が悪用され、IT保守を請け負う事業者（MSP）6社とその顧客47組織が被害を受けたことがわかりました。米セキュリティ企業ハントレスが11日に攻撃を検知し、開発元の米コネクトワイズが調査を進めています。
1日で286台超に不正なツール
ハントレスによると、攻撃は11日午後（世界標準時17時47分ごろ）に始まり、クラウド型のスクリーンコネクトを狙ったものでした。攻撃者は乗っ取った管理画面の「コマンド実行」機能を使い、MSPが管理する顧客のパソコンに攻撃者自身が操作できる遠隔操作ツールを勝手にインストールしたとみられています。被害を受けた端末は286台を超え、数はさらに増えているといいます。
侵入経路はまだ不明
最初の侵入経路はまだ特定されていません。ハントレスは、盗まれたIDやパスワード、乗っ取られたサポート用の接続が使われた可能性を指摘しています。また、感染した端末に技術者が接続すると、逆に技術者のパソコンが乗っ取られる恐れもあると警告しました。ソフトウェアの欠陥が悪用されたのか、正規の機能が悪用されたのかもはっきりしていません。
開発元はパスワード再設定を要請
コネクトワイズは「限られた数のパートナーに影響する不審な活動を把握し、調査中」とコメントしました。利用者に対しては、感染が疑われる端末への接続を避け、アカウントの操作履歴を確認したうえで、安全な端末からパスワードを再設定し、多要素認証（MFA）が有効か確かめるよう呼びかけています。
日本への影響
日本でも中小企業を中心に、パソコンやサーバーの管理を外部のIT保守会社に任せるケースは多くあります。こうした保守会社が攻撃を受けると、取引先の企業が一斉に被害を受ける「サプライチェーン攻撃」につながる危険があります。自社で遠隔操作ツールを使っている企業や、保守会社に管理を任せている企業は、どのツールが使われているかを把握し、不要な遠隔接続の停止や多要素認証の導入を保守会社に確認しておくことが求められます。
まとめ：便利な遠隔管理ツールは攻撃者にとっても格好の入り口になるため、取引先任せにせず自社の管理状況を一度点検してみてはいかがでしょうか。
出典：
bleepingcomputer.com / mezha.net
Photo: John Onaeko / Unsplash
