- ハッカーが ANCPI に侵入し、金銭の要求が失敗すると土地登記データベースとバックアップを削除したことで、ルーマニアの不動産市場は1週間にわたり事実上停止
- 攻撃者は 有効な認証情報 で侵入し、内部システムを把握したうえでデータを削除。ANCPIのメールサーバーや公式アプリ・Webサイトも停止
- 公証人は新規の不動産取引を登録できず、市民は 所有権証明書と詳細な土地記録 を取得できない状態に
- 7月14日にデータ削除とともにインシデントが公表され、翌日には職員の認証情報、内部文書、ITネットワーク情報がハッキングフォーラムで販売され始めた
- ANCPIはWebサイトを復旧し、ネットワーク全体をゼロから再構築している。攻撃者の主張とは異なり、オフラインのバックアップコピーを保有していた可能性がある
侵入とデータ削除
- ハッカーがルーマニアの地籍・不動産登記機関である ANCPI に侵入し、金銭を要求したが失敗すると、国の土地登記データベースを削除
- 情報筋によると、攻撃者は 正規の認証情報 で侵入した後、内部システムを把握し、システムとバックアップを削除した
- ANCPIのメールサーバーも今回のインシデントで停止
停止した不動産市場
- 公式アプリとWebサイトが1週間オフラインとなり、ルーマニアの 不動産市場全体が停止
- 公証人は新規取引を登記できない
- 市民は所有権証明書や詳細な土地記録を取得できない
流出データと攻撃者
- ハッカーがデータ削除を開始した 7月14日 にインシデントが公表され、翌日には窃取データの一部が ハッキングフォーラムで販売され始めた
- 投稿された資料には、職員の認証情報、内部文書、機関のITネットワークの詳細情報が含まれる
- データは ByteToBreach というアカウントが投稿
- ByteToBreachは同年、スウェーデンの電子政府ポータルをはじめ、複数の政府機関や有名企業を侵害したハッカーとして知られる
- セキュリティ企業KELAは2025年12月、この人物がアルジェリアにいる可能性を示しており、ANCPIのインシデント後にプロフィールを更新して、アルジェリアのオラン出身の Zakaria Mahdjoub として身元を公開
復旧と全面再構築
- ANCPIはWebサイトを復旧した後、ネットワーク全体をゼロから再構築していると発表
- 攻撃者はバックアップまで削除したと主張したが、ANCPIはオフラインコピーを保有していたとみられる
3件のコメント
『Mr. Robot』シーズン1を思い出しますね。あちらではオフラインバックアップまで全部壊してしまっていました。
Hacker Newsでも韓国政府のデータセンター火災事故の件が言及されていましたね（笑）
Hacker Newsのコメント
ハッキング後、当局はWebサイトを復旧し、機関のネットワーク全体をゼロから再構築すると発表した。ハッカーはバックアップを削除したと主張したが、オフラインコピーがあったようで、すべてが失われたわけではなさそうだ
土地所有権を証明できなくなる社会的影響が心配だったが、最悪の事態は避けられそうだ
まず直接的な証拠を適用し、その後に証言と異議申立期間を活用した。100%復旧はできず虚偽の請求も一部あっただろうが、近所同士が互いを知っている小さな町では、災害の規模を考えれば最善の解決策だった
特定の最新取引を消すことが目的だったなら成功したかもしれず、他の記録まで大量削除することで、その後の所有権紛争でももっともらしい否認が可能になる。自分の記録だけを消せば、改ざんが発覚したときの容疑者の範囲は非常に狭くなる
誰かが机をあさったなら、脅迫材料だと勘違いして、コードしかなくてがっかりしただろう
ANCPIはアプリケーションをRomania Government Cloudへ移行し始めており、Special Telecommunications Service(STS)の調整のもと、7月22日水曜日までに完了予定だと発表した
移行後は認定機関がアプリケーションとデータを検査し、システム状態と追加措置に関する報告書を作成し、それをもとに復旧見込み日を発表する計画だ。サービスは運用上の優先順位に従って段階的に再開される
ANCPIは複数の場所に保管されたバックアップでデータベースを再構築中であり、多重保存場所のおかげで冗長性とサイバーセキュリティ事故後の復旧能力を確保していると述べた。すべての脆弱性を解決するまで影響を受けたシステムを隔離し、関係当局と刑事捜査を進めているが、まだ正式な結論は公開できないという
だがその銀行はデータセンターから2ブロック、オフィスからも6〜8ブロックしか離れておらず、大規模災害が3か所すべてを襲う可能性があった。オーナーの家に置いていた2つ目のコピーだけが、唯一地理的に分離されていた
誤りを認めてシステムを凍結し、独立した専門家の助けを借りるべきだ。最近ルーマニアで土地を売買した人たちの幸運を祈る
ルーマニアの知人たちの話では、根本原因は腐敗と縁故契約だ。政府が身内にIT・データ契約を与え、彼らが実質的なセキュリティ作業をしないため、こうしたことが起きる
WebサイトのWebルートに
.authorized_keysファイルを置く理由はまったくないのに、そうしていた。特注契約とは、1社しか満たせないように条件を過度に具体化するやり方だ。ある地方自治体がバスを購入する際、一般的な車種より短い最大長を要求したが、偶然にも意思決定者の親族がちょうどその規格の車両を輸入していた一部の公務員の給与は悪くないが、IT分野では民間のほうがはるかに高いため、少しでも有能なら大半は民間へ行く。結局、非IT人材が契約や関連問題をすべて処理し、結果もよくなかった。同じスケジュールで予算の約10%だけでも、きちんと実行できる事業だった
知人が関わった別のルーマニア政府IT事業は、実際の価値の5〜10倍の費用がかかり、何段階もの下請けを経ていた。有能な人材は10人もいなかったが、受注企業は100人以上分の費用を請求し、実際の人数も一時的に最大70人程度だった。特に意思決定ポストの有能な人材不足が核心的な原因だった
セキュリティ企業KELAは、ハッカーの身元をアルジェリアのOran出身のZakaria Mahdjoubだと公表した
悪意あるハッカーなら、ロシアのハッカーのように、自国と敵対関係にあるか犯罪人引渡し協定のない国だけを狙いそうだが、アルジェリアとルーマニアの間には犯罪人引渡し条約がある: https://periodicos.processus.com.br/index.php/egjf/article/v...
バッテリー火災で、バックアップのない約900TB規模のデータセンターが消失した韓国政府データセンター事故を思い出す
外部バックアップなしに失われた機能をつなぎ合わせる作業は、データ復旧というよりフォレンジック考古学に近かったはずだ。最後に聞いた時点では、失われたサービスとデータの約4分の1を復旧した状態だった
[1] https://www.intermediagroup.org/south-korea-data-loss/
セルビアの土地登記データベースも 2か月にわたって停止したまま。LRDサポートチームによる通常のシステム障害案内以外に政府発表はまったくなく、同じ攻撃を受けたのでないことを願う
バックアップがシステムと一緒に削除されたなら、同じネットワークからアクセス可能だったという意味。攻撃者がアクセスできるバックアップはバックアップではない。
オフラインコピーがあって幸いだが、これほど重要なシステムなら運任せにせず定期的にオフラインバックアップを取るべき。
ずさんなパスワード慣行とポリシー、2段階認証や物理トークンの欠如が侵害に寄与したようだ。攻撃者とみられる人物が投稿した内容と画面には、
P@ssw0rdのような広く知られた推測しやすいパスワードが現れている。<https://spear.cx/Thread-Selling-RO-Thy-arss-shall-be-spanked...>
<https://drive.google.com/file/d/1iZc93XfViOk7izusgIG1ni7Kmsx...>
当初は ExoticPearTree が証拠もなくここでそう主張していた: <https://news.ycombinator.com/item?id=48978836>。陳腐なほど愚かな慣行を批判するなら、ありきたりで根拠のない非難に見えないよう十分な証拠を示すべきだ。
Blizzard はある年のイベント参加者全員にハードウェアトークンを配布した。その後スマートフォン認証が可能になり、Blizzard は義務化はしなかったが、ほぼすべてのギルドが特に幹部に利用を求めていた
オーストラリアの Torrens 登記制度では、紙の文書はもはや権威ある原本ではない。死亡者の相続財産の権利証を登記所に提出すると、データベースを更新した後に文書を保管し、返却を求めれば失効印を押して返す。
自分でこの手続きを踏んだので知っている。あとは「3, 2, 1」と叫ぶ人たちを待つだけだ
少し前には スロバキアでも同じことが起きた。
全国の不動産市場は約1か月にわたって麻痺し、バックアップと紙文書の両方から復旧して通常運用を再開するまでに数か月を要した。スロバキア史上最大のサイバー攻撃だったが、背後関係はいまだ公表されておらず、捜査も進行中だ。首相を含む政府関係者は、証拠もなく即座にウクライナを名指しすることに熱心だった。
“1T+ in assets are frozen as Slovakia's Land Registry faces ransomware attack” <https://spectator.sme.sk/politics-and-society/c/news-digest-...> (2025年1月9日), HN議論: <https://news.ycombinator.com/item?id=42650343>
“Ransomware Attack Paralyzes Slovakian Land Registry, Souring Slovakia-Ukraine Relations” <https://dailysecurityreview.com/security-spotlight/slovakian...> (2025年1月14日)
“Slovakia Hit by Historic Cyber-Attack on Land Registry” <https://www.infosecurity-magazine.com/news/slovakia-hit-by-l...> (2025年1月10日)
この事件は ウクライナと関連しているように見える。