BGP乗っ取りでマルウェア配布、複数の初歩的ミスが重なる
原題: BGP hijack infecting networks caused by a comedy of errors that’s not funny at all
なぜ重要か
BGPハイジャックとコード署名未実装の組み合わせが現実の供給チェーン攻撃に悪用された事例として、インフラ事業者のルーティングセキュリティ強化と署名検証の必要性を示す重要な警告となる。
2026年9月2日、Ars Technicaが報じた。未知の攻撃者がホスティング大手Hetzner OnlineのルーティングセキュリティとTLS証明書取得プロセスの脆弱性を悪用し、Softaculous社のIPアドレスをBGPハイジャック。同社のVirtualizorアップデートをマルウェアに差し替える供給チェーン攻撃を33時間にわたって断続的に実行した。
未知の攻撃者が、Webソフトウェアのインストール・管理プラットフォームを手がけるアラブ首長国連邦のSoftaculous社に対し、BGP（Border Gateway Protocol）ハイジャックを用いた高度な供給チェーン攻撃を実行した。標的はSoftaculous社が開発する仮想化環境管理プラットフォーム「Virtualizor」のアップデート配信システムで、攻撃者はアップデートに偽装したマルウェアをユーザーに送り込んだ。
攻撃の主因は、Softacuousのホスティング事業者であるHetzner Onlineにおけるルーティングセキュリティの設定不備にある。攻撃者はHetznerの設定の甘さを突いて、33時間の窓の中で2度にわたりIPアドレスの制御を断続的に奪取した。Hetznerは最初の乗っ取り開始から12時間後に正規の経路アナウンスで空間を取り戻したが、その後アナウンスを停止し、攻撃者が同一手法で2度目の乗っ取りを敢行。今度はHetznerが対応するまでに約10時間を要し、その間ハイジャックが継続した。
Softaculous側にも深刻な問題があった。同社はソフトウェア開発における最も基本的な安全策の一つであるコード署名によるアップデートパッケージの検証を実施していなかった。同社は月曜日の声明で「アップデートクライアントは暗号学的にパッケージを検証していなかったため、改ざんされたパッケージは弾かれなかった」と認め、「ごく少数のサーバーが実際に影響を受けたと考えているが、確定的なリストを作成できないため、全てのVirtualizorサーバーを調査対象として扱ってほしい」と警告した。
さらに、HetznerのトランジットピアであるZet.netもシステム監視が不十分で、乗っ取りが断続的に22時間継続した時点まで検知できなかった。また、別のホスティング事業者Nexon Hostのインフラが悪意ある経路アナウンスを助長した疑いも浮上している。
BGPツールスイート「BGP Tools」の開発者でBGPの専門家であるBen Cartwright-Cox氏は、今回の一連のミスを「馬鹿げた、防げたはずのミス」と批判した。Hetzner Online、Softaculous、Zet.netはメディアからの質問に対して即座に回答しなかった。