Oktaで2023年9～10月に、同社の顧客サポート管理システム「Okta Help Center」に対する不正アクセス攻撃が起き、一部の顧客に関するファイルが攻撃者に閲覧されたインシデントが発生した。同社は、これまでに調査や顧客への対応、対策などについて順次発表し、2024年2月28日に今回のインシデント踏まえた将来の方針として「Okta Secure Identity Commitment」を表明した。一連の経緯や今後の方針などについて、同社アジア太平洋・日本地域担当最高セキュリティ責任者のBrett Winterford氏が説明を行った。
Okta アジア太平洋・日本地域担当最高セキュリティ責任者のBrett Winterford氏（写真：Okta）
このインシデントは、2023年9月29日に、ユーザーの1PasswordがOktaに不審な兆候を報告したことで判明した。Winterford氏によると、不正アクセスを受けたOkta Help Centerは、同社のサポートエンジニアと、同社のアイデンティティー管理サービスを利用する顧客の間でのサポートに関する内容を管理するために使用している。
このシステムでは、顧客がOktaにサポートを依頼する際に、ファイルをアップロードすることがあるが、その中にOktaへ認証やセッションなどに関する情報を記録したHTTP ARchive（HAR）ファイルが含まれていた。攻撃者は、何らかの方法でOktaのサポート担当者と顧客のやりとりを把握し、顧客がアップロードしたHARファイルを窃取したと見られる。攻撃者は、窃取したHARファイルに含まれるセッションのデータを再生して、顧客側のOktaの管理コンソールへの不正アクセスを試みた。
Oktaの発表では、インシデントの影響を受けた可能性のある顧客は134社に上る。実際に、管理コンソールへの不正アクセスを受けた顧客は5社で、このうち1Password、BeyondTrust、Cloudflareの3社がインシデントの状況や対応内容を公表した。Winterford氏は、「影響範囲の詳細は公表できないが、攻撃者は、このアクセスを利用して更なるサプライチェーン攻撃を行おうとしていた。この中に日本の顧客は含まれていない」と話す。
Oktaがインシデントの発生を公表したのは2023年10月20日だった。Winterford氏によれば、この間に、侵害の可能性を通知した顧客らと随時連絡を取りながら、社内での詳細な調査や緊急対応、顧客への報告などの作業に当たったという。ただ一部の顧客は、Oktaが対応に時間を要したことなどについて不満があったようだ。Winterford氏も「一部のお客さまが当社の対応に不満を抱いた点を理解している」と話す。
Winterford氏によれば、Oktaは、Okta Help Centerのシステム基盤をサードパーティーのプラットフォーム上に構築している。同システムのセキュリティの責任はOktaが負っているが、14日間にわたる初動調査では、当初の段階において、顧客が報告した不審な兆候に関するログデータを特定できなかったという。その後、顧客から不審な兆候に関するIPアドレス情報が提供されたことで、侵害を受けた可能性がある顧客に関するファイルアクセスのイベントを特定。上述の根本原因が判明した。
原因判明後における侵害からの復旧策としては、（1）侵害されたサービスアカウントを無効化、（2）「Chrome Enterprise」機能を用いてOkta管理下のPCにおける個人のGoogleプロファイルの使用を遮断、（3）Okta Help Centerの監視を強化、（4）ネットワークローケションに基づいたセッショントークンのバインディングを実施――が講じられた。
Oktaは、2023年11月2日に全顧客へ上述の根本原因や対応内容を通知し、翌3日には社外にも公表した。影響の可能性があった134の顧客に対しては、顧客ごとに報告を行っており、「説明に時間を要してしまったが、おおむね評価をいただいた」とWinterford氏は述べる。
2023年11月28日にOktaは、追加調査の結果として、Okta Help Centerを利用したことがある全ての顧客のユーザー名とメールを含むファイルが攻撃者にダウンロードされていたことを公表した。機密性の高い個人情報は含まれていなかったものの、日本の顧客も影響を受けたという。Winterford氏は、「お客さまに多大なご心配をおかけしてしまったことをお詫びしたい」とした。
