■しかく概要

2022年01月04日に、幼稚園から高校、大学向けのWebサイトのデザイン、ホスティング、コンテンツ管理ソリューションを115か国、8,000以上の学校に提供しているアメリカのSaaSプロバイダーであるFinalsite社がランサムウェアの被害に遭いました(公表は06日)。そして、同日、ホストしていた学校のWebサイトにアクセスできなくなったり、エラーが表示されるという事象が発生。Finalsite社のコミュニケーションディレクターであるMorgan Delack氏によるとランサムウェアへの感染がそれらの事象の直接的な原因ではなく、顧客データを保護するために積極的にシステムをオフラインにし、それによって約5000の学校のWebサイトがオフラインなるとのことでした。この件に関して、Finalsite社は、特設ページ(Finalsite ransomware incident commutications hub 以下、特設ページ)を設置し、様々な情報を掲載していきました。今回はそちらに掲載された情報を基にメモをしていきます。

■しかくタイムライン

特設ページ内には、[Client Email Archive]というセクションがあり、そこでは顧客に送られたと思われるメールがアーカイブされています。そちらをこのブログエントリ初版執筆時点に公開されているものを主に利用し時系列順に整理したものが以下の表です。(時間[EST]の箇所は実際に公開されたコンテンツへのリンクとなっています)

■しかくSNSの活用

Finalsite社は自組織のサイト以外にSNSなどの情報発信手段を複数持っています。そのうち、「Twitter」「Facebook」「Instagram」「Linkedin」にて特設ページに掲載した内容の一部と同様のものを発信していました。また、2022年01月14日に特設サイトに掲載されたものと同様のFinalsite社のビデオメッセージが投稿されました。

■しかくその他の公開ドキュメント

●くろまるFinalsite webinar recap and outage FAQ

2022年01月06日(01月09日17:00アップデート)に公開されたドキュメント。同日含み複数回開催されたウェビナーに関する資料でFinalsite社から参加したパネリストのコメントとウェビナーに寄せられた質問などから作成したと考えられるFAQによって構成されています。参加したパネリストとタイトルは以下の通りです。

• Jon Moser, Finalsite CEO & Founder
• Jason Barnes, Chief Revenue Officer
• Risa Engel, Chief Marketing Officer
• Lauren Barth, Chief Product Officer
• Tim McDonough, Chief Client Officer
• Morgan Delack, Director of Communications

以下の表はFAQをまとめたものです。

●くろまるTemplate for clients RE: website outage

保護者に状況を説明するためのコミュニケーション・テンプレートと、メディア向けのFAQを掲載したドキュメント。Google Docsにアップロードされており、それぞれの学校が利用時に変更を加える必要のあるユニークな情報(名前やメールアドレスなど)の箇所には分かりやすく色付けされていました。

●くろまるFinalsite Forensic Investigation Statement

2022年01月10日に公開されたフォレンジック結果に関するドキュメント。今回のインシデントに対する調査に関する情報とFAQが記載されており、今回のレスポンスを行うにあたり支援を受けたサードパーティであるデータプライバシーに関する弁護士やフォレンジック調査員がどこの組織かといったことも明記されていました。フォレンジック調査の要約としては以下の通り記載がありました。

• 脅威アクターの特定
• 脅威アクターの封じ込めを達成
• 2022年01月04日(火)にシステムの侵入があった事実を特定
• システムに侵入した方法の特定

●くろまるForensic Investigation has Concluded Memorandum dated January 24, 2022

2022年01月24日に公開されたドキュメント。2022年01月10日に公開された「Finalsite Forensic Investigation Statement」に続く今回のインシデントに対する調査完了を報告するものです。調査により確認された事象は以下の通り記載されていました。

• ファイルへの直接アクセスやデータの流出を示す証拠は観察されていない。
• 脅威アクターとなった人物は特定している。
• 脅威アクターの活動は収束された。
• 脅威アクターのFinalsiteのシステムへのアクセスは2022年01月04日(火)に制限された。

また、調査報告書の全文は、Finalsiteのデータシステムのセキュリティを保護するために公開はされないとの記載もありました。

■しかくコメント

以上のFinalsite社の対応において以下の点が良かったように感じました。

1 特設ページの(Finalsite ransomware incident commutications hub)の設置
2 顧客へのメールアーカイブの公開
3 ウェビナーの開催
4 SNSの活用
5 テンプレートの配布

1は、情報を必要としている人が必要な情報にアクセスしやすいという点での分かりやすさが良いと感じました。多くの場合、組織のサイト内の目立つところに「重要なお知らせ」といった形をとったり、「お知らせ」「新着情報」といったところに掲載されることになります。このような掲載方法に問題があるわけではないのですが更新される情報を掲載していく際には、情報が点在することとなります。結果、見る側にとってあまり見やすいものではなくなってしまいます。

2は、まず時系列でどのようなことが起きたのかということが顧客以外にも分かるものとなっていました。また、このブログ初版執筆時点では7日間(01月04日から10日まで)で17件のアーカイブが公開されておりました。初報などはその日の1件のみですが、事件の状況がある程度の落ち着きを見せるまでは土日も含め1日に3件のペースで情報を公開していたことが見て取れます。頻繁に顧客に対してコミュニケーションを図る姿勢は良いと思いました。また、その中には前回の報告から変化がない場合や予定通りに物事を進ませることができなかったことを謝罪するようなものが含まれていました。これは、顧客からすると変化がないということや進捗に遅れがあるということを知らせる連絡であり、何も連絡をしないこととは雲泥の差だと思いました。

3は、ウェビナーを開催し、直接質問を受ける機会を設けるという非常に透明性を大切にした対応であると思います。参加していた方がはCEO含む、CxOの方々でした。ウェビナーは指定された時間に参加できなかった方のためにもということで複数回開催されている点も良いと感じました。また、それでも参加できなかった方に向けてなのか、ウェビナーで出た質問などをまとめた文書「Finalsite webinar recap and outage FAQ」も作成し、公開されていました。

4は、「Twitter」「Facebook」「Instagram」「Linkedin」を通じて、事件に関する情報共有を行っていました。何か事件・事故が発生した際に自組織のサイトから情報を発信できない場合もありますし、自組織のサイトを顧客が見に来るとも限りません。そのような場合に備えて自組織のリソース以外の伝達手段を持ち、活用することはどのような組織においても準備しておくべきことの1つかと考えています。Finalsite社は、事件発生と調査結果が出たことに関する2件をドキュメントのスクリーンショット付きで発信していました。

5は、Finalsiteが行った対応の中で最も良かったと感じたものでした。FInalsite社の顧客は、学校です。その向こう側には保護者がいます。保護者は、多くの場合、学校がFinalsite社のサービスを利用しており、現在直面している問題がそこで発生しているというようなことは考えずに学校に問い合わせを行うでしょう。状況の連絡や説明は、Finalsite社ではなく、学校が保護者に行うことになるはずです。そうした場合、学校側は、何も連絡をしない、答えないわけにはいかないが攻撃を受けた直接的な被害者ではないため、状況の把握も説明もできません。勝手に学校各々で対応をしてしまうと余計な混乱を生む可能性もあり状況は悪くなる一方です。そういったことを防ぐために迅速にテンプレートを用意したことは非常に有効な手段だったのではないかと感じました。また、2022年01月07日(金)14:30 の顧客へのメールにもある通り問い合わせに関する支援を行う姿勢を示し、窓口を開いたことも良い対応だったと思いました。

■しかく更新履歴

・2022年01月30日 タイムライン及び、その他の公開ドキュメントを追加

・2022年01月18日 初版公開