SharePoint脆弱性CVE-2025-53770の深刻な脅威が企業を襲う
チェック・ポイント・ソフトウェア・テクノロジーズが7月23日に発表した調査結果によると、Microsoft SharePointのゼロデイ脆弱性「CVE-2025-53770」を悪用した攻撃が世界的に急増しています。
この脆弱性は「ToolShell」と命名され、オンプレミスのSharePoint Serverへの不正アクセスを可能にし、企業環境に深刻なリスクをもたらしています。私が過去に担当したフォレンジック調査でも、SharePointを狙った攻撃は企業の機密情報流出の入り口として利用されることが多々ありました。
攻撃の実態：政府機関の49%が標的に
Check Point Researchの調査では、7月7日に西ヨーロッパの主要な政府機関が標的となったことが確認されており、7月18日と19日には攻撃が激化しました。
攻撃対象となった業界の内訳は以下の通りです：
- 政府機関：49%
- ソフトウェア業界：24%
- 電気通信業界：9%
これらの数字を見ると、国家機関や重要インフラが集中的に狙われていることが分かります。実際、私がCSIRTで対応した案件でも、政府関連組織のSharePoint侵害は国家機密レベルの情報漏洩につながる可能性があり、極めて深刻な事態でした。
攻撃手法の詳細分析
悪用されたIPアドレスと攻撃インフラ
今回の攻撃で使用されたIPアドレスは以下の通りです：
- 104.238.159.149
- 107.191.58.76
- 96.9.125.147
注目すべきは、これらのIPアドレスの1つが「Ivanti EPMM脆弱性チェーン」（CVE-2025-4427およびCVE-2025-4428）の悪用にも関連していることです。これは攻撃グループが複数の脆弱性を組み合わせた高度な攻撃を展開していることを示しています。
カスタムWebシェルによる逆シリアル化攻撃
攻撃者はカスタムのWebシェルを使用し、VIEWSTATEペイロードからパラメータ解析を実行することで逆シリアル化攻撃を可能にしています。この手法は非常に巧妙で、通常のセキュリティ監視では検出が困難です。
私が以前調査した類似の案件では、このような逆シリアル化攻撃により、攻撃者がシステム内で長期間潜伏し、機密データを継続的に窃取していました。被害企業は数ヶ月間気づかず、最終的に顧客データベース全体が流出するという深刻な事態に発展しました。
企業が今すぐ実施すべき対策
1. マルウェア対策スキャンインターフェース（AMSI）の有効化
AMSIが有効になっていることを必ず確認してください。この機能は、メモリ内でのマルウェア実行を検出する重要な防御機能です。
多くの企業でAMSIが無効化されているケースを見てきましたが、これは攻撃者にとって格好の標的となります。アンチウイルスソフト
を導入している企業でも、AMSI設定が適切でなければ防御力が大幅に低下します。
2. ASP.NETマシンキーの定期的なローテーション
SharePoint ServerのASP.NETマシンキーを定期的にローテーションすることで、攻撃者による永続的なアクセスを防ぐことができます。
3. インターネットからのアクセス制限
可能な場合には、VPN
やPrivate Accessツールを使用してインターネットからのSharePoint Serverへの直接アクセスを制限してください。
私が対応した多くの侵害事例では、SharePointサーバーが直接インターネットに露出していたことが攻撃の成功要因でした。適切なネットワークセグメンテーションとVPN
の活用により、攻撃者の侵入経路を大幅に制限できます。
中小企業向けの現実的な対策
予算に応じたセキュリティ対策
大企業向けの高額なセキュリティソリューションを導入できない中小企業でも、以下の対策により脅威を軽減できます：
- 基本的なアンチウイルスソフト
の導入：最新の脅威に対応したものを選択 - VPN
の活用：リモートアクセス時のセキュリティ強化
- 定期的な脆弱性スキャン：Webサイト脆弱性診断サービス
による定期チェック
実際に私が支援した中小企業では、基本的なセキュリティ対策の徹底により、大規模な侵害を防ぐことができた事例が多数あります。
フォレンジック調査で見えた被害の実態
SharePoint侵害による実際の被害例をいくつか紹介します：
ケース1：製造業A社（従業員200名）
SharePointの脆弱性を悪用され、顧客情報約5万件が流出。損害賠償と信用失墜により、売上が30%減少。
ケース2：法律事務所B社（従業員50名）
SharePoint経由で侵入された攻撃者により、顧客の機密文書が暗号化。身代金要求額は300万円でした。
これらの事例から分かるように、SharePointの脆弱性は単なるIT問題ではなく、企業の存続に関わる深刻な経営リスクなのです。
今後の脅威動向と対策
攻撃の高度化と対策の重要性
CVE-2025-53770の攻撃が北米と西ヨーロッパを中心に展開されていることから、今後アジア太平洋地域への拡散も予想されます。
特にオンプレミスのSharePointを運用している組織は、以下の点に注意が必要です：
- パッチ適用の迅速化
- 監視体制の強化
- インシデント対応計画の見直し
継続的なセキュリティ向上のために
一度対策を実施しただけで安心するのではなく、継続的なセキュリティ向上が不可欠です。
Webサイト脆弱性診断サービス
を定期的に実施することで、新たな脆弱性の早期発見が可能になります。また、アンチウイルスソフト
とVPN
を組み合わせることで、多層防御を構築できます。
まとめ：今すぐ行動を
SharePoint脆弱性CVE-2025-53770を狙った攻撃は現在進行形で発生しており、すでに多くの政府機関や企業が標的となっています。
フォレンジックアナリストとしての経験から言えることは、「攻撃されてからでは遅い」ということです。今回紹介した対策を参考に、すぐにでもセキュリティ体制の見直しを行ってください。
特に以下の3点は最優先で実施することをお勧めします：
- AMSI設定の確認と有効化
- SharePointサーバーへのアクセス制限
- 包括的なセキュリティソリューションの導入
サイバーセキュリティは「備えあれば憂いなし」の世界です。今すぐ行動に移すことが、あなたの組織を守る第一歩となります。
