MySonicWall クラウドバックアップファイルのインシデント

ソニックウォールは、主要なインシデント対応企業であるマンディアントと共同で実施した、最近のクラウドバックアップセキュリティインシデントの範囲に関する調査を完了しました。調査の結果、不正な第三者がソニックウォールのクラウドバックアップサービスを利用した全顧客のファイアウォール設定バックアップファイルにアクセスしたことが確認されました。

これらのファイルには暗号化された認証情報と設定データが含まれています。暗号化は維持されていますが、これらのファイルを保持していることで標的型攻撃のリスクが高まる可能性があります。影響を受けたすべてのパートナーおよび顧客への通知を進めるとともに、デバイス評価と修復を支援するツールを公開しました。影響を受けたデバイスの最新かつ包括的な最終リストは、MySonicWallポータル（製品管理 > Issue List に移動）で確認できます。

修復作業の優先順位付けを支援するため、リストには各デバイスを以下のいずれかに分類するフィールドが含まれています：

• Active - High Priority（インターネット向けサービスが有効なデバイス）
• Active - Low Priority（インターネット向けサービス非対応デバイス）
• Inactive（過去90日間ホームサーバーへの応答がないデバイス）

すべてのパートナーおよびお客様には、ログインの上ご自身のデバイスを確認されることを強くお勧めします。SonicWallは追加のセキュリティ強化措置を実施し、Mandiantと緊密に連携してクラウドインフラストラクチャと監視システムの更なる強化に取り組んでいます。

対象製品:

• MySonicWall.comにプリファレンスファイルがバックアップされたSonicWallファイアウォール

設定ファイルの機密性のため、お客様には以下の手順を直ちに実施されることを強く推奨します:

• MySonicWall.com アカウントにログインし、登録済みのファイアウォールに対してクラウドバックアップが存在するかどうかを確認してください。SonicWall Unified Management（SonicPlatform）をご利用で、MySonicWall.comへのアクセスに問題がある場合、ログイン時にSonicPlatformへの移動を促すメッセージが表示されたら「キャンセル」をクリックしてください。
  注意: 影響を受けるリストの更新については、引き続き定期的にMySonicWall.comをご確認ください。 
  
  
  • 以下のように、フィールドが空白の場合：危険はありません。
    
  • フィールドにバックアップの詳細が含まれている場合：この先に読み進めてください。
    
• 影響を受けるシリアル番号がアカウントにリストされているか確認してください。ログイン後、製品管理 ＞ Issue List に移動すると、影響を受けるシリアル番号には「フレンドリー名」「最終ダウンロード日」「既知の影響を受けるサービス」などの情報が付記されます。
  
  注意: “Last Download Date”は、設定ファイルが最後にダウンロードされた日時（MySonicWallまたはファイアウォールUI経由）を示します。日時が不明な場合は空白となります。管理者が、表示された日付にファイルのダウンロード操作をしていない場合は、直ちに対処し、以下に記載されている修復(Remediation)手順に従ってください。 
• シリアル番号が表示されている場合：リストされたファイアウォールは危険にさらされており、以下の封じ込め(containment)および修復(remediation)ガイドライン：Essential Credential Reset(英語）に従う必要があります 。
  ヒント: “Active – High Priority” のシリアル番号から優先して対応し、その後 “Active – Lower Priority”を対応してください。 
  注意: Impacted Servicesは一般的なガイダンスとしてのみ使用してください。リストされたサービスは有効化されていると特定されており、直ちに確認する必要があります。バックアップ時点またはそれ以前に有効化されていた認証情報を持つすべてのサービスは、リストされた各シリアル番号ごとに確認する必要があります。 
• クラウドバックアップ機能をご利用になったにもかかわらず、シリアル番号が表示されない場合、または登録済みのシリアル番号の一部しか表示されない場合:
  • SonicWallは最終リストを使用して、お客様のバックアップファイルが影響を受けたかどうかを判断しています。
  • 追加情報については、このページを再度ご確認ください:  http://sonicwall.com/support/knowledge-base/250916213414690

技術的封じ込めと緩和に関する文書は以下で確認できます:

• (英語)Essential Credential Reset
• (英語)Remediation Playbook

注意: メモ: SonicWall オンライン ツールを使用して、修復が必要なサービスを特定します。画面の指示に従って続行します。(UPEモードはサポートされていません。  

バックアップ設定ファイルに関する事実

ファイルエクスポートの基本:

ファイアウォール設定のエクスポート（バックアップ）は、拡張子 .EXP のファイルを作成します。
EXP ファイルには、認証情報やその他の機密情報を含む、デバイスの設定の完全なスナップショットが含まれます。
その目的は、ソースデバイスまたは代替デバイスを、キャプチャされた状態に正確に復元することです。

ローカルで生成された EXP に適用される保護: 

ファイル内容はエンコード（暗号化ではない）されます。
ファイル内の認証情報やシークレットは個別に、Gen 7以降(SonicOS7.X、SonicOS8.x)の場合はAES-256で、Gen6（SonicOS6.x)の場合は3DESで暗号化されます。
その結果、一般的な設定詳細は単純なデコードで読み取れますが、パスワード/キーは暗号化されたままです。

クラウドバックアップワークフローにおける追加保護:

クラウドバックアップ経由で生成されたEXPファイルは、HTTPS経由でMSW Cloud Backup APIに送信されます。
MSW Cloud Backup APIはファイル保存前に暗号化と圧縮を適用します。

クラウドバックアップからの取得:

MySonicWallからクラウドバックアップEXPをダウンロードする際、APIは以下を実行します:
アップロード時に適用されたファイル全体の暗号化を復号化 - 認証情報やシークレットは暗号化されたまま、元のエンコード状態に復元します。
エンコードされたEXPをHTTPS経由で安全に要求元に送信します。

これらの変更を行なった際に何らかの問題が発生した場合は、専任のサポートサービスチームが対応いたします。必要な変更作業の実施はお客様の責任となりますのでご注意ください。問題が発生した場合は、MySonicWallからサポートチームへお問い合わせを作成してください。 

変更履歴:

• 2025-9-17 4:40 AM PDT: Initial publish.
• 2025-9-18 4:30 PM PDT: 影響を受ける製品を明確化し、バックアップ確認の手順を段階的に説明し、バックアップの有無を示す図を置き換えるため、ナレッジベースのテキストと画像を更新しました。
• 2025-9-20 9:15 AM PDT: ファイアウォール構成の分析と修復ガイダンスのために、ビデオ ガイドと SonicWall オンライン ツールへのリンクを含むヒントを追加しました。
• 2025年9月26日 2:35 AM PDT：EXPファイルのバックアップ基本、保護機能、クラウドバックアップワークフローに関する「バックアップ設定ファイルに関する事実」セクションを追加。
• 2025年9月26日 12:55 PM PDT：最初の段落の文言を更新し、2025年9月上旬にファイアウォールクラウドバックアップサービスを標的とした不審な活動が検出されたことを明記。
• 2025年10月08日 12:15 PM PDT: 「ヒント: こちらの役立つ動画ガイドで詳細を確認してください」というテキストを削除しました。
• 2025年10月09日 9:06 AM PDT: デバイスの優先度セクションを番号付きリスト形式に更新。
• 2025年10月09日 6:35 PM PDT: 「最終ダウンロード日」フィールドの説明と必要なアクションを追加。Gen 6では追加された認証情報とシークレットが3DESで暗号化される旨を追加。
• 2025年10月10日 9:35 AM PDT: SonicPlatformログイン問題に関する説明を追加。SonicWallが影響を受けるバックアップファイルの最終リストを使用している旨を明記するため文言を更新。ユーザー自身が必要な更新を完了する必要があり、サポートはトラブルシューティングのみ対応可能である旨のガイダンスを追加。