【要約】Fired hacker twins forget to end Teams recording, capture own crimes [Ars_Technica] | Summary by TechDistill
> Source: Ars_Technica
Execute Primary Source
// Problem
IT請負業者Opexusの従業員が、解雇直後に権限を悪用して政府の重要データを破壊しようとした。彼らは解雇後もシステムへのアクセス権を保持しており、以下の問題が発生した。
- ・解雇後もVPN接続が維持されていた。
- ・96件もの政府系データベースが削除の対象となった。
- ・内部不正を即座に検知・遮断する仕組みが機能しなかった。
// Approach
犯罪者は解雇直後の混乱に乗じ、以下の手順でシステムへの攻撃を試みた。
- ・VPNを介してネットワークへ再接続した。
- ・RDP（リモートデスクトップ）を用いて対象システムへアクセスした。
- ・データベース本体およびバックアップの削除を計画した。
- ・DNS情報の変更による影響の拡大を検討した。
- ・証拠隠滅のため、ローカルデータの消去を計画した。
// Result
Teamsの録画停止失念により、犯罪の全容が音声データとして記録された。これにより、当局は以下の成果を得た。
- ・犯行の計画、動機、手法が詳細に記録された。
- ・会話の逐一の書き起こしを、決定的な法的証拠として確保した。
- ・被告の両名は、連邦刑務所に収監される結果となった。
Senior Engineer Insight
> IAM（アイデンティティ・アクセス管理）の運用不備が招いた典型的な内部不正事例だ。解雇プロセスとシステム権限の剥奪を完全に同期させる必要がある。特権IDの利用には、セッションの即時強制終了と、異常な挙動を検知する監視体制が不可欠だ。ゼロトラスト原則に基づき、常に権限を最小化し、ネットワーク接続を動的に制御する設計を徹底せよ。