認証なしSSHでMikroTikルーターが乗っ取られる実攻撃—CERT Polskaが9/2以降の侵害を確認、即時アップデートと外向きSSH遮断が急務です

今日の深掘りポイント

• いま起きていることは「ゼロクリックに近い管理プレーン侵害」だと捉えるべきです。SSHがインターネットに開いているだけで、認証なしにフル管理権限を奪取されるリスクがある以上、従来の「鍵認証だから安全」という前提が崩れている可能性が高いです。
• CERT Polskaが少なくとも9/2から成功攻撃を確認しているという事実は、攻撃の成立性と広がりやすさを示し、緊急性の評価を一段引き上げます。待つのではなく、遮断・更新・監査を同時並行で走らせる判断が合理的です。
• 攻撃後の用途は「踏み台」が本命です。DDoS、プロキシ化、密かな通信経路の確保のいずれも、エッジに位置するルーターが最適化されているからです。ネットワークの“境界”が、他者の“中継点”へと役割転換させられるのが最大のリスクです。
• 新規性は限定的でも、実用性と即効性が極めて高いタイプの攻撃です。標的は広く、検知は遅れがちで、復旧は設定ドリフトの解消と信頼境界の再定義を要するため、運用負荷が跳ね上がります。
• 現場の示唆としては「外向き管理ポート閉塞の徹底」「構成の整合性監査を日課に」「ログのリモート保全」「侵害前提のキー・パスワード総入れ替え」を“今日やる”ことが要諦です。

はじめに

MikroTikは中小規模拠点やISP、WISP、在宅VPNなどで広く使われる現実解のプラットフォームです。だからこそ、管理プレーンに直撃する“認証なしの奪取”は、1台の不具合ではなく、広域のネットワーク衛星群が一斉に踏み台へ変貌し得る事象として扱うべきです。機器そのもののダウンではなく、外部に対する加害能力が先鋭化するタイプのインシデントであり、法執行・取引先・クラウドまで含む越境的な摩擦を短時間で生みます。編集部としては、SSHの外部公開を原則違反とみなし、即時の遮断・更新・構成監査の3点セットを“テンプレ化”することを強く勧めます。

深掘り詳細

事実整理（ベンダ更新と観測）

• 攻撃者がインターネットに露出したMikroTikのSSHサービスを悪用し、認証なしで管理権限を取得する実攻撃が確認されています。CERT Polskaは少なくとも9月2日以降、成功した侵害を観測しています。
• MikroTikは影響を受けるRouterOSのバージョン向けにセキュリティアップデートを提供しており、即時の適用が推奨されています。
• 防止の観点では、未承認の設定変更の有無を精査することが重要だと報告されています。
• 以上の点はいずれも公開報道に基づく一次情報の要約であり、具体的なCVEや影響バージョンの粒度は本稿執筆時点で報道の範囲を超えていません。したがって、ベンダの更新通知とアプライ手順を優先し、攻撃痕跡のハンティングを並走させるのが理に適っています。

出典: The Hacker Newsの報道 に基づく整理です。

編集部インサイト（仮説を明示）

• 技術的には「SSHの認証フローにおけるプリオース（認証前）バイパス」「サービス境界の不備」「公開鍵検証の欠陥」などが根因候補として想定されますが、現時点では公的根拠のない推測に留まります。いずれにせよ“鍵やパスワードを強くする”だけでは防げない類型である点が重要です。
• 影響は“機器の中身”より“機器の立地”に依存します。エッジに立つルーターは、帯域・常時稼働・多拠点分布という3点セットが揃い、DDoSの原料・匿名化プロキシ・リージョン限定サービスの回避など、攻撃者の運用上のうま味が濃い資産です。1台の侵害でも、管轄ASNや顧客ネットワークの信用に連鎖的なダメージを与えやすいです。
• ログは短命で、設定は容易に上書きされます。RouterOSの既定ではメモリログが流れやすく、侵害後に痕跡を消す操作も難しくありません。対抗策は「事前のリモート・ログ保全」と「構成のスナップショット定期取得」であり、これは平時の運用設計の問題です。
• 実運用での難所は「遮断のしかた」です。SSHを即時止めたいが、遠隔地の無人拠点では現地派遣が要る場合があります。こうした制約を見越し、WAN側からは落としつつ、管理用VPNや帯域制御済みのアウトオブバンドを残す二重化設計が将来の差になります。

脅威シナリオと影響

以下はMITRE ATT&CKに沿った仮説マッピングを含む想定シナリオです（公開情報の限界から、技術IDは代表的な例示に留めます）です。

• 偵察
  • インターネットスキャンで22/TCPを探索（T1595: Active Scanning）です。
  • 自治体・ISP帯域など価値の高いアドレス帯を優先探索（T1590: Gather Victim Network Information）です。
• 初期アクセス
  • 露出したSSHへのリモートサービス悪用（T1210: Exploitation of Remote Services、またはT1133: External Remote Servicesの不正利用）です。
  • 認証不要のバイパスが成立する場合、クレデンシャル・ステップを飛ばして管理権限に到達します。
• 実行・永続化
  • 管理ユーザーの新規作成や権限付与（T1136: Create Account）です。
  • 起動時に設定を再注入するスクリプトやスケジューラの登録（T1053: Scheduled Task/Job）です。
  • 追加のSSH鍵配置やサービス有効化（Winbox/API/WWW）です。
• 防御回避
  • ログ設定の無効化、ログローテーションの短縮、履歴削除（T1562: Impair Defenses、T1070: Indicator Removal on Host）です。
• C2・横展開・利用
  • プロキシ化（SOCKSやNATルール）で外向き通信の踏み台化（T1090: Proxy）です。
  • 内部向けスキャンや転送設定でセグメント越えの探索（T1021: Remote Services）です。
• 影響
  • DDoSボット化（T1498: Network Denial of Service）や不正中継、メール・APIの匿名アクセスなどが主要用途です。
  • ルーティング/NAT書き換えにより可用性・到達性の劣化やトラフィックの不正分岐が発生します。

ビジネスへの波及としては、発信元ブラックリスト化、CDN・クラウドからのレート制限、取引先への踏み台加害、法的照会対応の増加など、技術外の負債も一挙に押し寄せます。特に複数拠点を束ねる事業者では、1台のインシデントが「全帯域の信頼低下」に跳ねるリスクを見過ごせないです。地政学的には、地域的な緊張や大規模イベントと連動した分散型妨害・情報操作の通信基盤として悪用される可能性も視野に入れるべきです。

セキュリティ担当者のアクション

以下は“今日からできること”を優先順でまとめた実務ガイドです。設定例は代表形式であり、各環境のポリシーに合わせて調整してくださいです。

• 0〜24時間（初動・遮断・是正）

  • インターネット側からのSSHアクセスを即座に遮断します。上流ファイアウォールまたは機器自身のフィルタでWAN→22/TCPを止めます。
  • RouterOSのセキュリティアップデートを即時適用します。安定チャネルでの更新と再起動計画を立て、更新後にRouterBOARDのファーム更新も検討します。
  • 既存の鍵・パスワードを全面的にローテーションします。管理者アカウントは最小化し、個人紐づけ・多要素化を徹底します。
  • 未承認の設定変更の有無を点検します（差分監査を最優先にします）。
    • 例（代表的な確認ポイント）:
      • /user print（未知の管理者や権限上げを確認）です。
      • /system scheduler print, /system script print（自動実行の追加有無）です。
      • /ip service print（ftp/telnet/www/api/winbox/sshの有効化やポート変更）です。
      • /ip firewall filter print, /ip firewall nat print（不審なDNAT/REDIRECT、外向き許可の穴あけ）です。
      • /ip socks print, /ip proxy print（プロキシの有効化）です。
      • /log print where topics~"ssh|account|system|script"（ログに残る痕跡の有無、ただし消去済みの可能性を前提にします）です。
    • コンフィグのフルエクスポート（/export hide-sensitive）を取得し、リポジトリの既知善本と差分比較します。
  • リモートSyslog転送を有効化します。メモリログ依存から脱却し、少なくとも90日以上の保全を確保します。

• 24〜72時間（恒久化・再発防止）

  • 管理プレーンの非公開化を完了します。
    • SSH/Winbox/API/WWWは原則LAN内または管理用VPNからのみ到達可能にします。
    • RouterOSのサービス許可アドレス（例: /ip service set ssh address=管理セグメント/CIDR）を設定します。
  • パスワード認証を無効化し、公開鍵のみ＋跳ね橋VPNを標準にします（ただし本件が認証不要バグである可能性を前提に、これだけでは十分でないことを周知します）。
  • 構成コンプライアンスを自動化します。ゴールデンコンフィグとのドリフト検知、差分通知、ロールバック手順を運用に組み込みます。
  • ネットワーク側のふるまい検知を整備します。
    • ルーター発の外向き大量コネクション（特にTCP/UDPの同時接続急増）をアラート化します。
    • 1080/TCP（SOCKS）、8080/3128（HTTPプロキシ）、不自然な海外宛てSSHのアウトバウンドを監視します。
    • ASN/リージョン別に平常ベースラインを取り、しきい値超過を可視化します。

• 7日以内（組織的対策）

  • 全拠点の「外向き管理ポートゼロ化」を方針化し、例外は期限付き承認＋代替監視を義務化します。
  • 変更管理を“ネットワーク・セキュリティ・現場運用”の三者でレビューするゲートを設け、緊急変更でも事後レビューを必須化します。
  • 取引先・上流ISPと連絡体制を確認し、踏み台疑い時のクローズドループを整備します。ブラックリスト登録・解除の手順も含めて合意しておきます。
  • レッドチーム／ピンテストで「管理プレーン露出」をスコアリング対象にし、優先度をアプリ脆弱性と同列に引き上げます。

最後に、メトリクス全体像からの示唆として、本件は「緊急度と実行可能性が極めて高く、成立確度も高い」側に張り付いた事案です。一方で、情報の新規性は限定的で、ベンダ更新と遮断・監査の王道で封じ込められる見込みも高いです。つまり“やるべきことは明確で、やらなければ確実に踏み台化する”タイプの危機です。守りの基本を丁寧に完遂できるチームが、もっとも早くこの波をやり過ごせます。現場の皆さんの迅速な判断と手当てが、組織の信頼を支えます。

参考情報:

• The Hacker News: Attackers Hijack MikroTik Routers via Exposed SSH Without Authentication