米シトリックス・システムズ(Citrix Systems)は2019年3月8日(米国時間)、外国の犯罪集団がシトリックスの社内ネットワークに侵入し、同社の社内文書をダウンロードした可能性があると公表した。米連邦捜査局(FBI)から3月6日(同)に通告されたという。犯行はイラン系組織との見方もある。

 シトリックスのスタン・ブラック(Stan Black)最高情報セキュリティー責任者が公表したブログによれば、同社は現在外部のセキュリティー企業などを交えたフォレンジック調査中で、どのような社内文書が不正に取得されたのかもまだ不明だとしている。

 外部のハッカー集団は「パスワードスプレー(password spraying)」と呼ばれる手法を使って、シトリックスの社内ネットワークに侵入した。これは、複数のアカウントに同一のパスワードを使ってログインを試みる手法。多くの企業は同じアカウントに対してログインが複数回失敗すると、そのアカウントをロックするようにしている。同じアカウントにログインを試す頻度を下げ、アカウントロックを回避しながら侵入を試みるのがパスワードスプレー攻撃だ。

 シトリックスは被害規模について不明としているが、米国のセキュリティーベンダーであるリセキュリティー(Resecurity)は同日、独自の調査結果を発表している。リセキュリティーによれば、シトリックスを狙ったのはイラン系のハッカー組織であり、オフィス文書や電子メールなど6TB(テラバイト)ものデータをシトリックスから盗み出したという。犯行があったのは2018年12月で、シトリックス以外にも200以上の米国政府機関や米国企業が同様の攻撃に遭ったとしている。

 シトリックスが販売するデスクトップ仮想化製品「Citrix Virtual Apps and Desktops」(旧名称はXenAppとXenDesktop)やVPN(仮想私設網)製品である「Citrix Gateway」は、「社外から社内システムに安全にアクセスする」ための製品である。セキュリティー製品を販売するITベンダーの社内ネットワークが外部から侵入されたという点で、衝撃的な事件である。