Docker 設定とルータ不具合が原因～ワサビの開発環境端末に不正アクセス

株式会社ワサビは7月7日、同社の開発環境端末への不正アクセスについて発表した。 これは7月4日に、同社の開発環境端末上のデータベース（MySQL）およびキャッシュサーバ（Redis）に外部から不正アクセスがあったというもの。同社では、データベース内のデータ窃取と削除、ランサムメッセージの残置を確認している。 同社によると、流出したデータベース内の注文および顧客データはすべてテスト用に作成された架空データ（ダミーデータ）で、実在する顧客の個人情報は一切含まれていない。また、一部のAPIキー、アプリケーションID、テストデータ、「ワサビ管理者アカウント」の情報が窃取されたが、管理者アカウントのパスワードは強固な暗号化（ソルト付きSHA-256でハッシュ化）が施されている。 窃取された情報の中には、一部本番環境でも使用されているAPIキーとアプリケーションIDが含まれているが、それぞれ下記の対応を行っている。・APIキー：再発行および旧キーの無効化を完了しており、不正利用は確認されていない。・アプリケーションID：OAuth認証が必要な仕様のため、機密情報が直接漏えいすることはないが、現在再発行の手続きを進めている。 キャッシュサーバ（Redis）では、暗号資産マイニングを目的とした不正な設定の書き込みを確認したが、コンテナ内に隔離された環境で実行プログラムが存在しなかったため、システムへの被害は発生していない。 同社では詳細な調査の結果、実在する顧客の個人情報および機密情報の漏えいは一切ないことを確認したとのこと。 同社では、下記の要因が重なり、開発用データベースがインターネットから直接接続可能な状態になっていたことが原因としている。・開発環境のDockerコンテナのデータベースポートが、ローカル環境のみ（127.0.0.1）ではなく、外部からも接続可能（0.0.0.0）な設定になっていたこと。・当該端末を接続していた自宅ルータの設定およびファームウェアの不具合により、該当ポートが外部へ転送（パブリックに公開）される状態になっていたこと。 同社では下記の対策を講じ、セキュリティ体制の強化を徹底するとのこと。・アクセス制御の徹底：Dockerの公開ポートを「127.0.0.1（ローカル）」に限定し、外部からの直接接続を遮断（MySQL・Redis等すべての公開ポートに適用）。・認証情報の強化：MySQL、Redis等すべてのシステムにおけるパスワードおよび認証情報の定期的なローテーション（変更）を実施。・開発データの無害化（サニタイズ）：開発環境で使用するデータに含まれるパスワードハッシュや認証情報をダミー値へ置き換え、本番データへの紐付きを完全に排除。・アカウントの保護：影響を受けた全スタッフのパスワード再設定。・ネットワーク設定の是正：対象ルータのUPnP機能の無効化およびポート転送設定の削除。・社内セキュリティ診断の実施：開発担当者全員の端末・環境に対するペネトレーションテスト（侵入テスト）を実施し、脆弱性がないことを確認。・第三者機関による監査：外部のセキュリティ専門企業へコンサルティングを依頼し、総合的なセキュリティ監査および体制の見直しを実施。元の記事を読む