CISAが警告：Microsoft Intune悪用で大規模デバイス消去、企業が今すぐ取るべき対策とは
サイバー攻撃の手口は日々高度化しているが、今回明らかになった事例は企業のIT管理体制そのものに深刻なリスクが潜んでいることを浮き彫りにした。米国の政府機関が異例の警告を発した背景には、医療機器大手を襲った前例のない攻撃がある。
米国のサイバーセキュリティ機関が企業に対し、デバイス管理システムの防御強化を緊急要請した。発端は、医療技術大手が受けたサイバー攻撃であり、数万台規模の端末データが一斉に消去されるという重大インシデントが発生したことにある。
今回の攻撃の特徴は、従来のランサムウェアやマルウェアとは異なる点にある。攻撃者はシステム内部へのアクセス権を悪用し、企業が従業員の端末を管理するために利用していたデバイス管理ツールを逆手に取った。これにより、スマートフォンやタブレット、パソコンに保存されていたデータが遠隔操作で削除され、企業の業務に大きな混乱が生じた。
特に問題視されているのが、Microsoft Intuneのようなエンドポイント管理システムの権限設計だ。これらのツールは本来、紛失時のリモートワイプやセキュリティ設定の統制などに不可欠だが、一度悪用されれば“合法的な操作”として大規模破壊を引き起こす危険性がある。
今回のケースでは、攻撃者がWindowsネットワークへのアクセスを足がかりに管理ダッシュボードへ侵入し、組織内の多数のデバイスに対してデータ消去を実行したとされる。個人所有の端末であっても、企業ネットワークに接続されていた場合は対象となり、被害の範囲は極めて広範に及んだ。
この事態を受け、米国当局は企業に対し具体的な対策を提示している。その中でも重要なのが「特権アカウントの厳格な管理」だ。特にデバイスの初期化や設定変更といった影響の大きい操作については、単独の管理者では実行できない仕組み、いわゆる二重承認（デュアルコントロール）の導入が強く推奨されている。
また、アクセス権限の最小化も不可欠である。必要以上の権限を持つアカウントは攻撃者にとって格好の標的となるため、役割に応じた権限分離と定期的な見直しが求められる。加えて、多要素認証の徹底やログ監視の強化も、侵入の早期検知において重要な役割を果たす。
被害を受けた企業はすでに攻撃の封じ込めに成功し、システムの復旧を進めているものの、供給や出荷などの業務システムには依然として影響が残っている。完全復旧の見通しは明らかにされておらず、企業活動への長期的な影響も懸念されている。
さらに今回の攻撃では、政治的動機を持つハクティビスト集団が関与を主張している点も見逃せない。単なる金銭目的ではなく、国際情勢と連動したサイバー攻撃が企業を標的とするケースは増加傾向にあり、従来の防御戦略だけでは対応が難しくなっている。
今回のインシデントが示したのは、「内部システムの信頼」が必ずしも安全ではないという現実だ。管理ツールそのものが攻撃経路となり得る以上、企業は“守るべき境界”を再定義する必要がある。ゼロトラストの考え方を取り入れ、すべてのアクセスを常に検証する体制へと移行することが、今後の標準となるだろう。
サイバー攻撃はもはやIT部門だけの問題ではなく、経営リスクそのものだ。今回の事例を教訓に、デバイス管理とアクセス制御の見直しを急ぐことが、企業の持続的な運営を守る鍵となる。
