スイスでは、政府サーバーがMicrosoft SharePointのセキュリティ脆弱性を悪用したハッカーの攻撃を受けていたことが判明しました。社内ネットワークやクラウドインフラストラクチャを管理している方にとって、この事件はパッチの適用が数日遅れただけでも何が起こるかを示す典型的な例と言えるでしょう。
- スイス連邦情報技術・電気通信庁（BIT）は、ハッキングにより200のSharePointアカウントの管理権を失った。
- これらの攻撃は、マイクロソフトが7月に修正したゼロデイ脆弱性、つまり未修正の脆弱性が原因とされている。
- セキュリティ上の理由から、当該サービスは外部からのアクセスを遮断し、影響を受けたサーバーの完全な再インストール作業を進めています。
スイス国家に対する攻撃の解剖
スイス連邦情報技術・電気通信庁（BIT）の公式発表によると、セキュリティ専門家は7月28日にSharePointシステムで不審な活動を検出した。攻撃者は、マイクロソフトが段階的にパッチを適用してきた既知の脆弱性を悪用したが、正確なCVE番号は現在調査中である。調査対象となっている脆弱性には、管理者権限に関するCVE-2026-56164と、リモートコード実行に関するCVE-2026-50522が含まれる。
BITのインシデント対応チームは、攻撃者が横方向に移動するのを阻止するため、SharePointへの外部アクセスを完全に遮断せざるを得ませんでした。管理者は直ちにパスワードの一括リセットを実施しましたが、既に200のアカウントに被害が出ていました。インフラストラクチャの保護についてさらに詳しく知りたい場合は、最近公開されたクラウドネットワークセキュリティに関する記事をご覧ください。
SharePointとビジネスリスク
組織が犯す最大の過ちは、SharePointを単なる社内文書保管ツールとして扱うことです。サーバーが厳密なセグメンテーションなしにインターネットに直接接続されると、パッチ未適用のインストールをインターネット上でスキャンするボットの標的になってしまいます。スイスの場合、唯一の安全策は、組織がプラットフォーム上での機密性の高い個人データの保存を禁止する方針を定めていたことでした。
ビジネスがオンプレミスまたはハイブリッドのSharePointインフラストラクチャに依存している場合、パッチへの対応時間が攻撃を受けるかどうかを左右します。攻撃者は1週間も待つことはなく、Microsoftがセキュリティアドバイザリを公開してから数時間後には自動化されたスクリプトを利用して攻撃を仕掛けてきます。
ネットワーク上で今すべきこと
こうしたサービスを管理している場合、最新のパッチを適用して安心するだけでは不十分です。ハッカーがシステムにバックドアを見つける前に、直ちに具体的な対策を講じて自社を守る必要があります。
まず、SharePointのログを確認し、サービスフォルダーやAPIエンドポイントへの異常なHTTPリクエストがないか調べてください。次に、ユーザーログインに少しでも異常な兆候が見られた場合は、外部アクセスを一時的に遮断してください。最後に、過去の同様の攻撃で発生したような永続的な攻撃の可能性を排除するため、サーバーのマシンキーと証明書を直接確認してください。
TechNoidの見解
私たちTechNoidは、スイス政府の対応は、事件当日こそ迅速な対応を見せたものの、その根本的な考え方においては極めて遅かったと考えています。7月から公表されていた脆弱性によってサーバーが影響を受けたという事実は、パッチ管理における自動化の欠如を示しています。コードが漏洩したのはマイクロソフトだけの責任ではなく、「週末にやろう」という企業文化が政府や多国籍企業に損失を与えているのです。もし私たちがBITの立場だったら、パッチ火曜日から48時間以内に、迷うことなくサーバーを自動的に隔離していたでしょう。
スイスのSharePointサーバーに対するサイバー攻撃に関するよくある質問
スイスのどの組織がサイバー攻撃の被害に遭ったのか？
影響を受けたのは、連邦情報技術・電気通信庁（BIT）だった。
今回の情報漏洩で影響を受けたユーザーアカウントの数はいくつですか？
攻撃者によって約200のユーザーアカウントが侵害された。
ハッカーの標的となったソフトウェアプラットフォームはどれですか？
攻撃者は、Microsoft SharePointサーバーのセキュリティ脆弱性を悪用した。
機密情報またはセンシティブなデータの漏洩はありましたか？
これまでの調査によると、問題のプラットフォーム上での機密データの保存は禁止されているため、機密データの漏洩は確認されていない。
スイス政府は攻撃を察知した直後にどのような措置を講じたのか？
BITは外部からのアクセスを遮断し、パスワードをリセットし、サーバーの完全な再インストールを開始した。
今回の攻撃の原因として考えられる脆弱性は何ですか？
研究者たちは、7月に修正されたセキュリティ脆弱性であるCVE-2026-56164とCVE-2026-50522について調査を進めている。
この事件の捜査には、どの機関が協力して取り組んでいますか？
BITは、スイス連邦サイバーセキュリティ庁およびマイクロソフトと協力して、この事件の調査を進めている。
