多くの企業の従業員が金曜日に仕事の週を終える一方で、マイクロソフトの技術者たちは業務上の火消しに奔走していた。
金曜日の午後遅く、マイクロソフトは、期限切れのセキュリティ証明書によりユーザーがネットワークにアクセスできなくなり、全世界の Azure クラウド サービスがオフラインになったことを発見した。
一方、同社は、Facebook、Apple、Twitter の社内コンピューターですでに発見されていたマルウェア感染が自社の社内システムにも侵入していたことも発見した。
Azureが失敗する
マイクロソフトは自社ウェブサイトで、SSL証明書の有効期限切れによりAzure上のすべての暗号化トラフィックが中断されたと説明した。暗号化されていないトラフィックは証明書の不具合の影響を受けなかったと付け加えた。
サービスは土曜日の朝までにほぼ完全に回復しました。
この障害によりマイクロソフトのオンラインフォーラムでは多くの不満が噴出したが、寄稿者のブライアン・ライシュル氏は皮肉なユーモアのセンスをもってこの災難を受け止めた。
「証明書の有効期限が切れました」というメッセージがコンピューターの画面に表示された後、彼は「できるだけ早く修正した方がいいかもしれません」と書き込んだ。「次に期限が切れる前に更新することを忘れないように、誰かのモニターに付箋を貼っておくのもいいでしょう」
Azureユーザーにとって、サービス停止は目新しいものではありません。1年前にもシステムがダウンしましたが、その障害も証明書が根本原因でした。さらに、2012年7月には、西ヨーロッパのユーザーが構成の問題でサービスを停止しました。
マルウェアの侵入
Azureの問題に加え、マイクロソフトは、Mac事業部門の一部のコンピュータシステムが、OracleのJavaプログラミング言語の脆弱性を通じてマルウェアに感染していたことも発見した。
Twitter、Facebook、Appleでも同様の感染が確認されています。これらの感染に共通するのは、いずれも単一の開発者ウェブサイト「iPhoneDevSDK.com」から発生したと思われる点です。
人気のiPhone開発者サイトの所有者であるイアン・セファーマン氏によれば、同サイトのシステムは、ドライブバイ攻撃によって訪問者のコンピュータに感染するこのマルウェアの影響を受けていないという。
この攻撃は、ブラウザで Oracle の Java プログラミング言語を実行するときに見つかった脆弱性を悪用します。
FacebookとAppleの脆弱性攻撃に関する報道を受け、OracleとAppleは迅速にセキュリティアップデートを導入し、事態に対処しました。Microsoftがアップデートをインストールしなかったか、アップデートをインストールする前に感染が発見されたかのどちらかです。
ジャワの温泉
Javaはセキュリティホールに悩まされることは珍しくありません。既に悪用され始めていたJava 6の重大な脆弱性は、2010年に修正されました。2011年には、このバージョンのJavaプログラムに対するさらに9つの重大な修正がリリースされました。今週AppleがリリースしたJavaの修正には、Apple製コンピュータに同梱されて出荷される最後のバージョンであるJava 6に対する修正も含まれていました。
Oracleがソフトウェアの新バージョン7をリリースしても、状況は改善されませんでした。そのバージョンでもセキュリティホールが出現し始め、現在も発生し続けています。
ハイテク企業に対する最近の攻撃は、中国のハッカー集団によるものとされる米国の大手メディアへのデータ窃盗事件の発覚を受けて起きたものだが、ブルームバーグは、ハイテク企業に対する攻撃は東欧のハッカー集団によって実行された可能性があると報じている。
