大英図書館に対するサイバー攻撃

大英図書館に対するサイバー攻撃（だいえいとしょかんにたいするサイバーこうげき）は、2023年10月に起こった、英国図書館のオンライン情報システムに対する、ハッカーグループのRhysida（リサイダ）（英語版）による攻撃。Rhysidaは、サービスを復旧し、窃取したデータを返還するための身代金として20ビットコイン（約596,000ポンド [当時]）を要求したが、英国図書館は応じず、約600GB分の流出データがオンライン上で公開された。「英国史上、最悪のサイバーインシデントのひとつ」^[1]ともいわれている。

主要な目録データは2024年1月15日にオンライン上で再び閲覧のみ可能となったが、図書館サービスの一部は数ヶ月にわたり利用できない状態が続くと予想される。英国図書館はこの攻撃からの復旧のために、準備金の約40%に当たる約600〜700万ポンドを投じることになるかもしれないとされている^[2]。

背景

英国図書館は政府が設立した特殊法人で、2023年時点において約1,400万冊の書籍、数百万点に及ぶその他資料を所蔵する^[3]^[4]。英国で最大規模の図書館である^[5]。同図書館はファイアウォールおよびウイルス対策ソフトで保護されていたが、多要素認証を導入しておらず、新型コロナウイルス感染症（2019年）期に外部事業者およびIT管理者らの遠隔アクセスを容易にするため、2020年2月に新しくターミナルサービス用サーバを導入していた。これが今回の攻撃で不正アクセスが最初に検出されたサーバであった。このサーバに多要素認証を実装していないことはリスクのひとつとして2020年時点ですでに指摘されていたが、のちに同図書館は報告書で「起こりうる結果がおそらく過小評価されていた」^[6]と述べている。

Rhysidaはハッカー集団のひとつで、学校・病院・政府機関などの重要なインフラを攻撃することですでに知られている「サービスとしてのランサムウェア（ransomware as a service）」プロバイダであり、2023年5月には諸々の諜報機関で認知されるようになった^[4]^[7]。これまでにチリ陸軍、オーストラリアの医療研究所、医療サービス会社のプロスペクトメディカルホールディングスがRhysidaの攻撃を受けている^[7]。

英国図書館に対する攻撃は、諸々の文化機関に対してこの時期になされたサイバー攻撃の一部ともいえる。たとえばニューヨーク市のメトロポリタン歌劇場、ベルリンの自然史博物館（フンボルト博物館）がそうした攻撃による影響を受けてきていた^[8]。

インシデントの経緯

2023年

10月28日：午前9時54分（グリニッジ標準時）、英国図書館はツイッター上で「ウェブサイトに影響を及ぼす技術的な問題」が発生していると発表。午前中までにパブリックWi-Fi停止、オンライン目録停止といった問題が発生^[4]^[7]^[9]。
10月29日：同図書館はツイッター上で「技術的な障害」が発生していることを公表^[7]。
10月30日：ザ・ニューヨーカー誌によると、「デジタル化以前の状態で」週明けに再開予定。同館のウェブサイト、電話回線、チケット販売、利用者登録、カード決済は機能せず。ボストンスパ館からの資料配送も保留^[7]。
10月31日：同図書館はこの障害がサイバー攻撃に起因するものであることを公表^[10]。英国国家サイバーセキュリティセンター（NCSC）（英語版）および他のサイバーセキュリティ専門家らとともに調査開始^[11]。
11月16日：デジタル恐喝ないしランサムウェア攻撃が同図書館により確認される^[10]。
11月20日：Rhysidaは情報漏洩の犯行声明を出し、ダークウェブ上で49万191件のデータファイルについて1週間にわたるオークションを開始。開始価格は、ひとりの買い手に対して20ビットコイン（約596,000ポンドに相当 [当時]）^[3]^[7]。オークションの締切を11月27日の午前8時（グリニッジ標準時）に設定し、英国歳入関税庁（英語版）の雇用契約書やパスポート情報を示すと思われる低解像度の画像付きで宣伝^[3]^[5]。これらのデータは「他にない、ユニークかつ目を引くもの」だと主張^[4]。同図書館によれば、流出したデータは内部の人事ファイルのものと思われるという^[5]。
11月27日：Rhysidaは、英国図書館が身代金の支払いを拒んだのち、窃取したデータの90%（約600GB）をダークウェブ上で誰もが自由に利用できるようにしている^[7]^[12]。

2024年

1月5日：同図書館はこの攻撃から復旧するために準備金の約40%（推計で約600〜700万ポンド）を使うことになると公表^[2]。
1月10日：同図書館は一部のサービスを1月15日からオンライン上で再開予定と公表。ただし同図書館長のロリー・キーティング（英語版）は、アクセスは攻撃前よりも「より遅くなり、より手作業になる」とした。キーティング館長は「この2ヶ月もの間、研究のため、場合によっては生活のために当図書館のコレクションを頼りにしてくれていた研究者の皆さんは、その利用機会を奪われてしまっていた」と陳謝している^[13]^[14]。
1月15日：英国図書館の主要なオンライン目録が読み取りのみ可能な形で復旧。利用者はこの目録を検索できるが、利用可能かどうかを確認して閲覧申込を行うプロセスには制約が生じたままである。主な特殊コレクションへアクセスすることも再びできるようになったが、館内利用に限られる^[13]^[14]^[15]^[16]。
3月8日：ロリー・キーティング館長は、英国図書館のウェブサイトにブログ記事を投稿し、「現時点において理解できた範囲で、今回の攻撃に関する詳細および経緯について、また、当図書館の運営、将来のインフラ、リスク評価に関する事項についてまとめた」報告書を公開したと発表した^[17]^[18] 。この報告書では、「将来、同規模のインシデントが生じても、首尾一貫した仕方かつ体系化された仕方で対応できるように」、オンプレミス技術からクラウド上への「大幅な移行」を含む「再構築・刷新」計画を実施していくことが発表された^[6]。

攻撃の手法

同図書館によれば、攻撃者はおそらく、フィッシング、（特定個人を標的とした）スピアフィッシング、またはブルートフォースアタックの手法を用いており、外部事業者の認証情報の漏洩とともに、多要素認証を図書館が導入していなかったことがそうした攻撃を容易にしてしまったという。Rhysidaはアクセス権を取得後、図書館の利用者および職員の個人データを含む600GB分のドキュメントを攻撃時に特定・複製するうえで次の3つの手法を用いていた^[6]。

同図書館の財務・技術・人事部門のファイルサーバの全セクションを複製する標的型攻撃によるもの。複製された全コンテンツの60%を占める。
ファイル名やフォルダ名に「パスポート」や「機密」といったセンシティブな語が用いられているものをスキャンするキーワード攻撃によるもの。複製された全データの40%を占め、組織内のネットワーク上にあるファイルや職員個人のストレージにあるファイルが含まれる。
ネイティブユーティリティの乗っ取りによるもの。それにより、外部の利用者や顧客の連絡先のデータを含む22種類のデータベースのバックアップコピーが強制的に作成された。

さらにRhysidaとその共犯者らは、システムの復旧とフォレンジック分析を阻止するために諸々のサーバを破壊していた^[6]。

影響

この攻撃がもたらした経済的影響を試算する作業は現在も続けられているが^[6]、攻撃後、図書館の機能には次のような多数の影響が生じた。

ボストンスパ館からロンドンのセントパンクラス館へ図書館資料を配送できなくなった^[9]。
公共貸与権にもとづき図書館での書籍貸出数に応じた支払いが約2万人の作家、イラストレーター、翻訳家へなされるべきところ、遅延が生じた^[9]^[19]。
2024〜2025年度に実施予定の客員研究プログラムが中断された^[9]。
コンピュータ化された索引が数ヶ月にわたりオンライン上で提供できなくなり、2024年1月に一部が復旧した^[9]。
英国の博士論文コレクションであるEThOS（英語版）はオンライン上で利用できない状態が続いている（2023年12月19日時点）^[7]。
攻撃から復旧するためにかかる費用は600〜700万ポンドとなる見込み^[2]。
2024年2月29日時点で、英国図書館の電子情報資源のウェブページは次の説明がなされたページへリダイレクトされていた。「サイバー攻撃の影響により、現在も大規模なシステム障害が続いています。図書館は通常通り開館していますが、ウェブサイト、オンライン上のシステムおよびサービス、一部の館内サービスは完全に復旧しておりません。このウェブサイトは暫定的なもので、現在利用可能なサービスや図書館内のイベントや展示などを紹介する限定的な内容となっています」^[20]。