三菱重工への攻撃起点は社用モバイルPCでのSNS不正利用だった様です。
三菱重工業は7日、名古屋市などの拠点のインターネット通信網が第三者による不正なアクセスを受けたと発表した。在宅勤務中の社員が社内ネットワークを経由せずにSNS（交流サイト）を利用した際、業務用のパソコンがウイルスに感染した。同じサーバーを利用する複数の従業員の個人情報の一部が流出した。
機密情報や取引先の情報の漏洩は確認されていない。5月21日に不正アクセスを検知して調査を始め、従業員の個人情報の流出を確認した。
在宅勤務中の社員のパソコンは社内ネットワークを経由して接続しているが、一部のパソコンで外部接続ができるようになっていたという。再発防止に向け、従業員が会社のパソコンから外部ネットワークに接続できないようにする対策を講じた。三菱重工はネットへの接続体制の「社内の監視体制を一層強化する」としている。
（日経新聞記事より引用）
公式発表
キタきつねの所感
恐らく標的型攻撃の一環だったのかと思います。公式発表に詳しい経緯が書かれていましたので引用しますが、社用端末でSNS（私用）を利用したのが発端の様です。
※リクルートや広報等の理由で公式SNSアカウントを当該従業員が持っていた可能性もありますが、それについては公式発表で触れられていませんので、私用だったと推測して記載しています。
普通は社内ルールでこうしたSNSの私用利用が禁止が書かれていると思いますので、まずここに原因があったと考えるべきかと思います。
2点目のポイントが、『社内ネットワークを経ずに外部ネットワークに接続できた』事です。これも原因の１つとなっていますが、時期（4/29）を考えると、ここは仕方が無かった面もあるかと思います。
4/7からの緊急事態宣言中ですので、急遽のテレワークで端末設定が徹底されてなかった可能性は、三菱重工だけでなく普通にあった時期かと思いますし、不安に思う心理からSNSで情報収集される方もこの時期多かったのはよく分かります。
しかし普通は・・・私用端末でSNS利用するのではないかとは思いますが。。。
| 4/29 | 当社グループの従業員が、在宅勤務時に自宅で社内ネットワークを経由せずに外部ネットワークへ接続、SNS（ソーシャル・ネットワーキング・サービス）を利用した際に、第三者から受領したウイルスを含んだファイルをダウンロードしたことにより、当該従業員の社有PCが感染。 |
| 5/7 | 当該従業員が出社し、社内ネットワークに接続。 |
| 5/18 | 社内ネットワークを通じ、感染が拡大。 |
| 5/21 | 外部不正通信を検知し、調査を開始。 |
| 5/22～ | 不正アクセスを受けた機器が判明したため、ネットワークから遮断する等の初動対策を直ちに行った後、通信ログ等の解析を開始。 |
| 6/16～ | パケット情報を分析、その解読・精査を開始。 |
| 7/21 | 流出を確認した情報の精査を完了。 |
続きを読む
