Ubiquitiの「壊滅的侵害」は自社エンジニアによる50ビットコイン恐喝計画だった

2021年1月10日から11日にかけて、Ubiquitiは顧客にメールを送り、不正な第三者が「第三者クラウドプロバイダーがホストする情報技術システム」にアクセスしたこと、および顧客データ（氏名、メールアドレス、一方向暗号化されたパスワード、住所、電話番号）が漏えいしていないと確信できないことを伝えた。このメールには誤字があり、多くの受信者がフィッシングだと受け取ったため、同社はコミュニティフォーラムでその真正性を確認せざるを得なかった。株価は下落し、ドイツのBSIはユーザーに認証情報の変更を勧告した。

2021年3月30日、Ubiquitiは続報を出した。攻撃者はソースコードとIT認証情報を保持するAWS上のサーバーにアクセスしていたが、顧客データは「標的ではなかった」という。全ユーザーにパスワードのリセットと二要素認証の有効化が促された。同じ週、匿名の「内部告発者」がセキュリティ記者に対し、この侵害は壊滅的であり隠蔽されていると語った。Ubiquitiの株価は2日間で376.78ドルから298.30ドルへ、約20%下落した。

この計画は2021年12月1日、マンハッタンの連邦検察官がUbiquitiのエンジニア、ニコラス・シャープを起訴したことで崩れた。2020年12月に他社への就職を申請した後、彼は自身の管理者用VPN認証情報を使って同社のAWSおよびGitHubアカウントから数ギガバイトをダウンロードし、AWSポリシーを適用してログ記録を制限し、自身のVPNセッション履歴を削除したとされる。しかし、一瞬の接続断が彼の自宅IPアドレスを漏らした。彼は2021年1月10日までに50ビットコインを要求した匿名の「ハッカー」であり、拒否されるとデータを漏えいし、内部告発者を装った。

株価は2日間で377ドルから298ドルへ下落した。ドイツのBSIは顧客にパスワードの変更を指示した。その後、名誉毀損訴訟と報道の撤回が続いた。

一人のエンジニアの正規の管理者認証情報が、ソースコード、クラウドストレージ、セキュリティ設定などあらゆるものに到達でき、従業員と最重要資産の間に内部者向けの防護策がなかった。

ログ記録は不変ではなかった。シャープはAWSポリシーでログを制限し、自身のVPN履歴を消去したため、同社は実際に何が起きたのかを立証できなかった。

同社はインシデントの性質を特定できる前に開示し、誤字だらけの「アクセスされた可能性がある」というメールはフィッシングのように読めた。この空白が攻撃者の主張を招き入れた。

管理者認証情報を持つ内部者は、どんなハッカーよりも大きな脅威である。ログを不変に保ち、管理者アクセスを隔離し、開示前に事実を確定せよ。空白は、最も大声で嘘をつく者によって埋められる。

シャープは2021年12月1日に逮捕され、データ窃取と自らの雇用主に対する恐喝で起訴された。検察は、彼の報道操作が同社の市場価値から数十億ドルを消失させたと述べた。2022年8月、セキュリティブロガーのブライアン・クレブスは撤回と謝罪を公表した。彼の「内部告発者」の情報源は加害者本人だったのである。そして同年9月、Ubiquitiによる彼への名誉毀損訴訟は法廷外で和解した。この出来事は、どのセキュリティプログラムも省略すべきでない二つの管理策、すなわち不変の監査ログと内部者に対する特権アクセスの制限の標準的な参考事例となった。