MGM サイバー攻撃の概要

ラスベガスのカジノに一度でも行ったことがあれば、さまざまなゲームに人々が継続的に賭け続けることで、カジノが文字どおりお金を生み出す機械であることをご存じでしょう。現代のカジノは、デジタル化されたビジネスの好例です。顧客は、ゲームシステムからモバイルアプリ、ロイヤルティプログラムまで、複数のデジタルチャネルを通じて関わります。ラスベガスのMGMサイバー攻撃は、デジタル障害が、企業の収益、顧客満足度、そして世間のイメージに関して、いかに迅速に重大な結果につながり得るかを明確に示しました。

2023年9月11日、MGMリゾーツはXで、「サイバーセキュリティ事故」が同社の一部システムに影響しているとする声明を出しました。この事故は、2023年の第3四半期に1億ドル（100 million）の損失につながる見通しでした。攻撃は、Scattered Spider と ALPHV という2つの別組織によって仕組まれたとされています。事業運営に大きな混乱が生じることに加え、さらなる被害が発生する可能性に直面し、同社は、競合他社の Caesars Entertainment が行ったように、攻撃者に数百万ドルの身代金を支払うかどうかを含め、難しい判断を迫られました。

初期の発見と対応

自分たちがランサムウェア攻撃の渦中にあることを判断するのに、あまり時間はかかりません。攻撃者はまず9月8日にネットワークを侵害したと考えられています。翌日、MGMのセキュリティチームは、同社のシステム上で異常な活動と通信（トラフィック）を検知しました。攻撃は、その後の数日間で事業運営が公に支障をきたすようになるにつれて、急速にエスカレートしていきました。

MGM Resortsは、データやインフラを守るために特定のシステムを停止することを含む迅速な対応を行い、その結果としてさらなる混乱も生じました。状況の深刻さを認識したMGMは、攻撃の封じ込めと被害の軽減を支援するために、すぐに第三者機関と最前線のサイバーセキュリティ専門家を呼び込みました。さらに、法執行機関とも連携し、侵害についての即時調査を開始しています。

MGMのサイバー攻撃はどのように展開したのか

ハッカーが用いたソーシャルエンジニアリングの手口

MGM ネットワークへのアクセスを得るために、Scattered Spider は、次のようなボイスフィッシング（vishing）のソーシャルエンジニアリング攻撃を仕掛けました。

1. Scattered Spider のメンバーは LinkedIn 上で MGM の従業員を調査し、役割や身元に関する情報を収集しました。
2. 収集した情報を使って、攻撃者はなりすます MGM の従業員を選びました。
3. ハッカーは、その従業員になりすまして MGM の IT ヘルプデスクに電話し、ヘルプデスクを説得してログイン認証情報（クレデンシャル）を提供させることに成功しました。
4. 入手した認証情報を用いて、Scattered Spider は MGM の Okta および Azure のテナント環境に対する管理者権限を獲得しました。
5. 攻撃者は高い権限を用いて、MGM のシステム内で横方向に移動しました。

その時、Scattered Spider はランサムウェア・アズ・ア・サービス（RaaS）ソフトウェアを展開するために ALPHV を投入しました。彼らは MGM のネットワーク内にある約 100 台の ESXi ハイパーバイザーを暗号化しました。これらのサーバーは、ゲーム機、オンライン予約システム、デジタルルームキー、Web サイトなどの重要なホスピタリティ関連システムを支える数千台の仮想マシンをホストしていました。ALPHV はまた、この期間に顧客情報 6 TB を持ち出したと主張しており、その後、盗み出したデータの一般公開を防ぐために MGM と交渉を開始しました。さらに ALPHV は、合意に至らない場合には持ち出した情報を開示すると脅迫しました。

MGM のシステムおよび運用への影響

MGM Resorts へのサイバー攻撃の影響は、組織全体で広範な混乱が発生したことで、直ちに明らかになりました：

• スロットマシンがエラーメッセージを表示しながらオフラインになったため、賭博（ゲーム）運営が中断されました。
• ホテルの宿泊客は、デジタルのルームキーが使えなくなったと不満を訴えました。
• オンライン予約・予約受付システムが停止されました
• MGMアプリが完全に利用できなくなったため、モバイルサービスが中断されました。
• メールシステムに影響が出ました
• レストランの予約が中断されました

攻撃のイベントの時系列と攻撃の期間

攻撃全体の期間は約10日でした。攻撃のタイムテーブルは以下のとおりです:

• 2023年9月7日：Scattered Spider が Caesar’s Entertainment の IT サポート ベンダーに対してソーシャルエンジニアリング攻撃を開始。
• 2023年9月10日：MGM Resorts がシステム障害を経験し始めます。
• 2023年9月11日：MGM は事件を公に開示し、警察当局に連絡した後に調査を開始します
• 2023年9月12〜13日：顧客が、利用体験に影響するさまざまな問題を報告しました。
• 2023年9月14日：Scattered Spiderは、MGM Resortsから6テラバイトのデータを盗んだと主張し、MGMはシステムの復旧を開始します。
• 2023年9月20日：MGMが、すべてのシステムに対するサービスの完全な復旧を確認します。

金銭的および風評上の損害

MGMサイバー攻撃による推定財務損失

ランサムウェア攻撃のコストは、かなり過大になることがあります。発生する費用には、被害の軽減（ミティゲーション）にかかる費用、生産性の低下、潜在的な訴訟、事業の中断、そして身代金（ランサム）そのものの支払いの可能性が含まれます。同時期にランサムウェア攻撃を受け、身代金を支払うことを選択した Caesars Entertainment とは異なり、MGM はそれを一度も考慮しなかったと述べています。支払いを控えるという同社の判断は、こうした行為には関係するリスクがあるとしてそれを避けるよう助言した、サイバーセキュリティの専門家、政府機関、そして法執行機関の推奨と一致していました。MGM は推定 8,400 万ドルの逸失収益を失ったとされています。また、技術コンサルティング、法律費用、第三者のアドバイザーに対する 1 回限りの経費として 1,000 万ドルを支出しました。さらに同社は、影響を受けた顧客に対して無償サービスを提供し、ロイヤルティ・プログラムのポイントを復元することに関連するコストにも直面しました。

MGMの評判に与えた影響と顧客の信頼

MGM Resorts は、ユーザーが鬱憤をぶつけるかたちで、強い否定的なソーシャルメディアの注目を浴びる状況に直面しました。これが顧客のロイヤルティや信頼の低下につながるのかどうかは、現時点では分かりません。MGM の立て直しには、事件の直後にタイムリーに到来した注目度の高いフォーミュラ1（Formula One）レースが後押しとなり、関心を別の方向へ向けることで、場合によっては評判上のダメージの一部を軽減できた可能性があります。

データ漏えいと情報の侵害

露出した顧客情報の種類

攻撃の際に流出したデータは、MGM の顧客に関する情報で構成されており、主に 2019 年 3 月以前に同社と取引を行っていた人々が対象でした。これには、氏名、連絡先情報、生年月日、運転免許証番号といった個人情報が含まれています。また、少数の顧客については、社会保障番号、パスポート番号、または軍の身分証明番号が公開（露出）された可能性があります。ホテルの予約に関連する個人データや、ロイヤルティプログラムの詳細情報も侵害（漏えい）されました。確認はされていませんが、攻撃によって従業員データも同様に露出した可能性があります。

MGM が顧客を守るために講じた対策

十分に定義されたインシデント対応計画を用意しておくことは、サイバー攻撃による影響を効果的に管理し、軽減するうえで非常に重要です。以下は、MGM が攻撃の直後に実施した施策の一部です。

• 侵害（データ漏えい）に関する情報を掲載する専用ウェブサイトまたはポータルを作成した
• 透明性を確保するため、さまざまなチャネルを通じて公開声明と最新情報を発信した
• 無料のクレジット監視サービスを提供しました
• 影響を受けた顧客と従業員に対して、アイデンティティ盗難の保護を提供しました
• 顧客の懸念や質問に対応するため、専用コールセンターを設置しました

法的結果と顧客による訴訟

MGMに対する集団訴訟

このような訴訟が複数、MGM を相手に提起されています。これらの訴訟における主張では、世界的に有数のカジノ・ホテル運営事業者である MGM が、消費者データを保護するための適切なサイバーセキュリティ対策を実施できていなかったとされています。原告は、適切な暗号化なしに機微な顧客情報を保存していたこと、また Okta が以前から同社に潜在的なセキュリティリスクの可能性を警告していたことを主張しており、MGM がこれらの警告に注意を払っていなかったことを示唆しています。訴訟では、次を含むさまざまな形の補償を求めています。

• 金銭的損害賠償
• 潜在的ななりすまし（ID盗難）防止のための費用の返還
• 個人情報を保護することに関連する費用の補償
• 過失があったとされることに対する懲罰的損害賠償

規制当局の監視とコンプライアンス上の問題

MGM は、上場企業として求められるとおり、SEC filingsにてサイバー攻撃とその潜在的な財務的影響を適切に開示しました。FTC は、攻撃後の MGM の data security 取り組みについて調査を開始しましたが、MGM は今回の調査が同機関の権限を逸脱しているとして FTC を相手取り訴訟を提起しました。さらに同社は、FTC 議長の Lina Khan が MGM の施設に滞在していた際にサイバー攻撃の影響を個人的に受けていたことから、利益相反があるとも主張しています。複数の州の規制当局がこの事案を調査しています。複数の州の規制機関が、MGM のサイバー攻撃事件について調査を開始しました。具体的な機関はまだ公表されていませんが、ネバダ州の Gaming Control Board が調査に関与している可能性が高いとみられます。

学びと今後のサイバーセキュリティ対策

MGM のサイバーセキュリティ戦略の改善

同社はサイバーセキュリティ体制を強化するため、既存のサイバーセキュリティシステムおよびプロセスについて徹底的な評価を実施しました。その後、以下を含む追加のセキュリティ対策を導入しました:

• 改善されたアクセス制御と認証プロセス
• 強化されたネットワークのセグメンテーション
• アップグレードされた侵入検知および防止システム
• 強化されたデータ暗号化の取り組み

さらに、MGM も翌年に IT 改善へ最大 4,000 万ドルを投資する計画を発表しました。

インシデント対応計画の重要性

MGM の迅速な対応は、適切に構成されたインシデント対応計画が整備されていたことを明確に示しています。同社の即時対応には、次の内容が含まれていました：

• サイバーセキュリティの専門家や捜査機関（法執行機関）との連携
• 侵害を封じ込めるために IT 専門家を動員
• ランサムウェアのさらなる拡散を防ぐことを試みる
• 影響を受けたお客様への迅速かつ透明性のあるコミュニケーション

MGMは攻撃の深刻さを素早く認識し、攻撃を隔離するために重要なデジタルシステムを停止するという決定的な判断を下しました。これにより当初は業務の混乱が生じましたが、さらなるデータの流出を防ぎ、ランサムウェアの潜在的な拡散を抑えることができました。この先回りの対応は、サイバーセキュリティインシデント発生時に迅速にシステムを隔離するための、事前に定義されたプロトコルを持つことの重要性を示しています。

ホスピタリティ業界へのより広範な影響

MGM Resortsのサイバー攻撃は、業界が運用のために相互に連携したデジタルシステムに依存している実態を明らかにしました。業界が予約、ロイヤルティプログラム、決済システムを管理するためにデジタル技術をますます統合していくにつれて、サイバー犯罪者にとって格好の標的になります。今回の攻撃は、複数のサービスがいかに短時間で妨害され得るかを示しました。高まったリスクに対処するため、業界は包括的なセキュリティ対策を実施し、防御策を継続的にテストし、必要な調整を行う必要があります。

Netwrix がお手伝いできること

Netwrix には、MGM Grand のサイバー攻撃のような攻撃から組織を守ることができる、包括的なセキュリティ ソリューションのスイートがあります。以下にいくつかの例を示します：

• Netwrix Privileged Access Management は、常時有効な特権（standing privilege）をなくすことで、攻撃者が環境内で横方向に移動するのを阻止できます。使用していないときに脆弱になり得る静的アカウントの代わりに、Netwrix では、実行する作業に必要な分だけアクセス権を持つ“ジャストインタイム”の一時アカウントを作成できます。タスクが完了すると、そのアカウントは削除されます。さらに、複数の IT システムにわたって管理者のすべてのアクティビティをリアルタイムで監視するのにも役立ちます。
• Netrix Auditor は、過剰な直接権限や不活発なユーザーが多数いるなど、データとインフラにおけるセキュリティ上のギャップを検出し、攻撃対象領域（attack surface）を最小化するための是正措置を講じるのに役立ちます。個人によって引き起こされたすべての異常なアクティビティ アラートを包括的なビューに統合することで、潜在的に悪意のあるインサイダーや侵害されたアカウントを迅速に特定できます。
• Netwrix Data Classification Software は、組織内に点在するすべての機密コンテンツを見つけ出し、そのためのセキュリティ優先順位を付けられるようにします。さらに、保護されていない場所に保存されている、または大規模なオープン グループからアクセス可能な重要データ／機密データを自動的に隔離（quarantine）することができます。

Netwrix は user activity monitoring を使用して、特権アカウントへの不正または過剰なアクセスを検知・フラグ付けし、ユーザーが通常は関与しないシステムやデータにアクセスしたタイミングを特定します。 File integrity monitoring は、重要なファイルや設定に対する不正な変更を識別します。Netwrix はまた、MGM が業界の標準や規制に沿った状態を維持できるように、コンプライアンス レポート ツールも提供しています。