Uber 不正アクセス事件（2022年）

1. 事件の概要

2022年9月、配車サービス大手のUberが不正アクセスを受け、社内システムが広範囲に侵害されました。この事件が重要なのは、Uberが多要素認証（MFA＝パスワードに加えてもう一つの本人確認）を導入していたにもかかわらず、突破されたことです。

攻撃者は、まず委託スタッフのパスワードを闇市場などで入手。そのうえで何度もログインを試み、スタッフのスマホに“承認しますか？”という通知を大量に送りつけました（これを「MFA疲労攻撃」と呼びます）。通知が鳴り止まないことにうんざりしたころ、攻撃者は「ITサポート担当」を装って本人に連絡し、「通知を止めたければ承認してください」と説得。ついに本人が承認ボタンを押してしまい、侵入されました。狙われたのは、システムの弱点ではなく「人の心理と疲れ」だったのです。

2. 被害の内容と規模

侵害された範囲

• 社内チャット（Slack）にアクセスされ、一部のメッセージがダウンロードされた。
• クラウド基盤（AWS）、コード管理システム、経費・請求管理ツールなど、多数の社内システムに侵入された。
• 攻撃者は社内に「侵入した」と誇示するメッセージを投稿し、大きく報道された。

被害拡大の要因

侵入後、攻撃者は社内で管理者権限を得ていきました。その一因として、あるプログラム（スクリプト）の中に管理者のパスワードが直接書き込まれていた（ハードコードされていた）ことが指摘されています。1か所の侵入から、芋づる式に権限が奪われていきました。

3. 原因と手口

ソーシャルエンジニアリングとは

ソーシャルエンジニアリングとは、システムの弱点ではなく「人の心理や行動の隙」を突いて、情報を聞き出したり操作させたりする攻撃です。IT担当者を装う、権威を利用する、急がせる、疲れさせる——技術ではなく“だまし”で突破します。

MFA疲労攻撃の流れ

1. パスワードの入手：委託スタッフの端末がウイルスに感染するなどして、パスワードが盗まれ、闇市場で売買された。
2. 通知の大量送信：盗んだパスワードで何度もログインを試み、本人のスマホに承認通知を繰り返し送る。
3. 心理的な揺さぶり：「ITサポートです。通知を止めるには承認してください」と、本人に直接連絡して説得。
4. 承認の誘導：疲れ・混乱した本人が承認ボタンを押し、突破完了。

4. 対策と教訓

「技術（MFA）」と「人（教育）」の両面から、中小企業でも取り組める対策を整理します。

企業がとるべき対策

• MFAは「番号入力型」など強い方式を選ぶ：「承認ボタンを押すだけ」より、画面の数字をアプリに入力する方式など、疲労攻撃に強い方法を使う。
• 「身に覚えのない承認通知は拒否・報告」を徹底する：従業員に「知らない通知は絶対に承認しない。すぐ報告」と教える。
• ITサポートを装う連絡に注意する：「サポートです、承認して」という連絡は疑い、正規の窓口に自分から確認する。
• パスワードをコードに書かない：プログラムやファイルにパスワードを直接書き込まない。専用の安全な保管方法を使う。
• 委託先の端末・アカウントも守る：委託スタッフの認証情報が盗まれる前提で、権限を絞り、監視する。
• 定期的に「だまされない訓練」をする：ソーシャルエンジニアリングの手口を研修で共有し、従業員の“気づく力”を高める。

5. まとめ

Uberの事件は、多要素認証を導入していても、人の心理と疲れを突く「MFA疲労攻撃」で突破された出来事でした。教訓は——強い方式のMFA、「知らない承認通知は押さない」教育、サポート詐称への警戒、パスワードをコードに書かない。攻撃の最後の標的は、いつも「人」です。技術と教育をセットで備えましょう。