企業や政府機関で広く利用されているIvantiのVPN製品に、中国のハッカーがバックドアを仕掛け、多数の顧客情報が危険に晒された可能性が浮上しました。Bloombergの新たな報道によると、この大規模なセキュリティ侵害は、プライベートエクイティによる買収後のコスト削減が、製品のセキュリティ品質に深刻な影響を与えた結果であると指摘されています。リモートワークが普及し、VPNの重要性が増す中で、このIvanti VPN 脆弱性問題は、企業が直面するサイバーセキュリティリスクの複雑さを改めて浮き彫りにしています。
Ivanti VPN製品を巡る深刻なセキュリティ侵害の詳細
Bloombergの報道によれば、事の発端は2021年2月に遡ります。ソフトウェア大手Ivantiの子会社であるPulse Secureが提供するVPNアプライアンスのネットワークが、中国のハッカーによって侵害されたとされています。ハッカーは、Pulse SecureのVPNソフトウェアに存在する既存の脆弱性を悪用し、巧妙にバックドアを設置。これにより、同社のVPN製品を利用していた119の組織に不正アクセスが可能になったと報じられています。
この侵害は、当時Ivantiの最高セキュリティ責任者であった人物やその他の情報源によって確認されており、サイバーセキュリティ企業Mandiantもこの事態を把握していました。MandiantはIvantiに対し、ハッカーがこの脆弱性を悪用して欧州および米国の軍事請負業者を侵害したことを警告していたと伝えられています。この事実は、単なる企業ネットワークの侵害に留まらず、国家レベルの安全保障にも関わる重大な問題であったことを示唆しています。
Ivantiの広報担当者Carrie Laudie氏はBloombergの報道に対し、「Connect Secureにハッカーによってバックドアが仕掛けられたことは一度もない」と反論しており、情報の真偽については両者の間で食い違いが見られます。しかし、Mandiantがコメントの要請に応じなかったこともあり、この問題の全容解明にはさらなる情報が待たれます。
プライベートエクイティ買収とセキュリティ品質の関連性
今回のIvantiのセキュリティ侵害が特に注目されるのは、その背景にプライベートエクイティ（PE）による企業買収とそれに伴うコスト削減が指摘されている点です。Bloombergの報道によると、2017年にプライベートエクイティ大手のClearlake Capital GroupがIvantiを買収した後、特に2022年には大規模な人員削減が行われました。この削減は、同社の製品とセキュリティに関する深い専門知識を持つ従業員に影響を与えたとされています。
一般的に、PEファンドは買収した企業の効率化と収益性向上を目指し、コスト削減や事業再編を積極的に行います。しかし、セキュリティ分野においては、専門知識を持つ人材の流出や開発予算の削減が、製品の品質低下や脆弱性の見落としに直結するリスクがあります。特に、VPNのような企業の基幹インフラを担う製品では、わずかなセキュリティホールが壊滅的な被害につながる可能性があります。
Ivantiと同様に、リモートアクセスツールを提供する競合のCitrixも、2022年の買収後に大規模なレイオフを実施し、近年サイバーセキュリティインシデントや重大な脆弱性に悩まされてきました。これらの事例は、PEによる買収が、短期的な利益追求と引き換えに、企業の長期的なセキュリティ体制や信頼性を損なう可能性があるという警鐘を鳴らしています。
繰り返されるIvanti製品の脆弱性問題とCISAの警告
今回の2021年の侵害報道に加え、IvantiのVPN製品はその後も複数の重大なセキュリティ問題を引き起こしています。2024年初頭には、米国のサイバーセキュリティ機関CISA（Cybersecurity and Infrastructure Security Agency）が、すべての連邦機関に対し、IvantiのVPNアプライアンスを2日以内にネットワークから切断するよう異例の命令を出しました。これは、ハッカーが当時Ivantiも認識していなかった脆弱性を積極的に悪用していたためです。
さらに昨年には、Ivanti自身が顧客に対し、Connect Secure製品の別の重大な脆弱性が企業顧客へのハッキングに悪用されていることを警告しています。これらの連続するセキュリティインシデントは、Ivanti製品が継続的に高度なサイバー攻撃の標的となっており、その防御体制に課題があることを示唆しています。特に、ゼロデイ脆弱性（メーカーが認識する前に攻撃者が発見・悪用する脆弱性）が悪用されるケースが頻発していることは、企業にとって極めて深刻な脅威です。
CISAによる緊急命令は、連邦政府機関がIvanti製品の利用を停止するほどの深刻度であったことを意味し、一般企業にとっても同様のリスクが存在することを示しています。VPNは企業のネットワークと外部を繋ぐ重要なゲートウェイであるため、そのセキュリティが破られることは、企業全体の情報資産が危険に晒されることを意味します。
ユーザーと企業が直面するリスクと対策：Ivanti VPNのセキュリティ問題から学ぶべき教訓
今回のIvanti VPNのセキュリティ侵害報道は、企業がVPN製品を選定し、運用する上で極めて重要な教訓を与えています。単に機能や価格だけでなく、ベンダーのセキュリティ体制、過去のインシデント対応、そして企業買収などの経営状況がセキュリティ品質に与える影響まで考慮する必要があることを示しています。
こんな企業は要注意！
- 単一ベンダーに依存している企業: 複数のVPNソリューションや多層防御を検討し、リスクを分散することが重要です。
- セキュリティパッチの適用が遅れがちな企業: 脆弱性は常に発見されるため、迅速なパッチ適用体制が不可欠です。
- 機密性の高い情報を扱う企業: 軍事請負業者への攻撃事例からもわかるように、標的型攻撃のリスクが高い企業は、より厳格なセキュリティ基準を設けるべきです。
企業が取るべき具体的な対策
- 多要素認証（MFA）の徹底: VPNアクセスには必ずMFAを義務付け、認証情報の窃取による不正アクセスを防ぎます。
- 定期的な脆弱性診断とペネトレーションテスト: 自社のシステムが抱える脆弱性を客観的に評価し、対策を講じます。
- セキュリティ情報の継続的な収集: 利用している製品の脆弱性情報や、業界全体のサイバー攻撃動向を常に把握し、先手を打った対策を検討します。
- 代替VPNソリューションの検討: ゼロトラストネットワークアクセス（ZTNA）など、よりセキュアなリモートアクセスソリューションへの移行も視野に入れるべきです。
- サプライチェーンリスクの評価: ベンダー選定時には、その企業のセキュリティ体制や経営状況（特にPEによる買収など）が製品のセキュリティに与える影響を評価します。
VPNは現代のビジネスにおいて不可欠なツールですが、その信頼性が揺らぐことは、企業活動全体に大きな影響を及ぼします。今回の報道は、セキュリティ対策が単なる技術的な問題に留まらず、企業の経営戦略やガバナンスに深く関わる問題であることを改めて認識させるものです。
まとめ：信頼性確保への課題と今後の展望
IvantiのVPN製品を巡る一連のセキュリティ問題は、サイバーセキュリティの脅威が高度化する中で、企業が直面する課題の複雑さを浮き彫りにしています。特に、プライベートエクイティによる買収後のコスト削減がセキュリティ品質に影響を与えた可能性が指摘されている点は、企業経営とセキュリティの密接な関係を再認識させるものです。
今後、Ivantiがどのように信頼を回復し、製品のセキュリティを強化していくのかが注目されます。また、企業買収におけるセキュリティデューデリジェンスの重要性も高まるでしょう。ユーザー企業は、VPNをはじめとする基幹インフラ製品の選定と運用において、常に最新の脅威情報を把握し、多層的な防御策を講じることが不可欠です。サイバーセキュリティは、一度構築すれば終わりではなく、継続的な監視と改善が求められる動的なプロセスであることを忘れてはなりません。
情報元：TechCrunch