大規模なDDoS攻撃により、セキュアメッセージングサービス「Threema」のサービスに支障が生じた

今週初め、セキュアメッセージングサービス「Threema」が複数の分散型サービス拒否（DDoS）攻撃の標的となり、通信に深刻な支障が生じた。

​「Threema On-Prem」を利用している組織では、独自のインフラストラクチャを利用しているため、何の問題も発生しませんでした。

金曜日に発表された事後分析レポートの中で、このエンドツーエンド暗号化インスタントメッセージングサービスは、攻撃者が絶えず手口を変えていたため、防御が困難だったと述べた。

Threemaは、同名のスイスのテクノロジー企業が開発した有料メッセージングアプリであり、セキュリティとプライバシーに重点を置いています。

同サービスは、スイス国内のさまざまな場所に設置された独自のサーバーインフラに依存しており、「広告なし、プロファイリングなし、隠れたデータ分析なし」を約束している。

火曜日のUTC午後6時頃、ユーザーからサービス障害の報告が相次いだ。同社は約1時間後に応答し、その時点で入手可能な情報に基づき、原因は「コロケーションパートナー側のネットワーク障害」であると述べた。

「Threemaのネットワークステータスが『接続済み』ではなく『接続中』になっている。うーん……10分後、再び『接続済み』に戻ったが、メッセージは依然としてすぐに送信されず、かなり遅延している」とあるユーザーは不満を漏らした。

約3時間後、Threemaは、パートナーからネットワークの問題が解決されたとの報告を受けたことを受け、すべてのサービスの復旧に取り組んでいると発表した。

翌日、Threemaのステータスページには問題が示されていなかったにもかかわらず、スイス、インド、中国のユーザーからは引き続きサービスが利用できないとの報告が寄せられた。

しかし、同社は一連のDDoS攻撃の標的となっており、その対策に取り組んでいることを確認し、断続的なサービス停止が発生する可能性が高いとユーザーに警告した。

Threemaによると、これらの攻撃により、火曜日の夕方から水曜日の午前にかけて、サービスが「一時的に利用できない、あるいは部分的にしか利用できない状態」になったという。

通常、DDoS攻撃は、攻撃のパターンに適応する効果的な防御策により、目立った影響を与えることなく緩和されるのが一般的だとThreemaは述べた。

しかし、今週の攻撃は大規模なものであり、ThreemaとそのコロケーションパートナーであるNineの両方が標的とされました。

「Threemaが主な標的だったのか、それとも攻撃が複数の標的に向けられていたのかは、完全には明らかではない」と同社は述べている。

攻撃は長期間にわたり継続し、攻撃者は防御策を回避するために絶えず戦術を変更したため、防御は困難を極めた。

これとは無関係の技術的な問題により、同社は現在のシステムステータスページを更新できなくなり、問題が解決されるまでページをオフラインにすることを決定した。

「Threema Workを利用している法人顧客には、水曜日の朝、サービスの不安定な状況についてメールで通知され、アカウントマネージャーが問い合わせに応じて現状に関する情報を提供しました。」

同様の事象を回避するため、このスイス企業は「追加対策として専用のDDoS防御システム」を導入し、攻撃トラフィックをアップストリームでフィルタリングすることで、インフラへの負荷を軽減している。