【ITニュース解説】新たなクリプトジャッキング攻撃がDevOpsとAIインフラを標的に

今回のニュースは、最新のサイバー攻撃がどのような技術基盤を標的にしているのかを理解する上で非常に重要である。具体的には、「クリプトジャッキング攻撃」と呼ばれる手法が、「DevOps」と呼ばれるソフトウェア開発・運用手法や「AIインフラ」という人工知能の基盤を狙っているという内容だ。システムエンジニアを目指す上で、これらの言葉の意味や攻撃の手口、そしてそれらに対するセキュリティ対策の重要性を把握しておくことは不可欠となる。

まず、「クリプトジャッキング攻撃」とは何かを説明する。これは、サイバー犯罪者が他人のコンピュータやサーバーの計算能力を許可なく勝手に利用し、暗号資産（仮想通貨）のマイニングを行うサイバー攻撃のことだ。暗号資産のマイニングとは、非常に複雑な計算を大量に実行することで、新しい暗号資産を生成したり、暗号資産の取引を承認したりする作業を指す。この作業には膨大な計算リソースと電力が消費されるため、攻撃者は、被害者の高性能なコンピュータを乗っ取り、その計算能力と電気代をただで利用して、自分の利益を得ようとする。被害者側としては、コンピュータの動作が極端に遅くなったり、電力消費量が異常に増えたりするなどの被害に繋がる。

次に、標的の一つとなった「DevOps」について解説する。DevOpsとは、「Development（開発）」と「Operations（運用）」を組み合わせた造語で、ソフトウェア開発における文化、哲学、プラクティスを指す。開発チームと運用チームが密接に連携し、自動化ツールなどを積極的に活用することで、ソフトウェアをより迅速に、かつ高品質に開発し、リリースし、運用することを目指す。このDevOpsのプロセスでは、ソースコードの管理、自動テスト、ソフトウェアのデプロイ（展開）、システムの監視など、多岐にわたる専用ツールが利用される。これらのツールの多くは、外部のシステムと連携するために「公開APIサーバー」を持っている。API（Application Programming Interface）とは、異なるソフトウェア同士が相互に情報をやり取りするための窓口や規約のようなものだ。今回の攻撃では、この公開APIサーバーが狙われた。攻撃者は、これらのAPIサーバーに存在するセキュリティ上の脆弱性や設定の不備を悪用し、不正にアクセスしてDevOps環境を乗っ取ろうとしたと考えられる。

もう一つの標的である「AIインフラ」についても見ていこう。AIインフラとは、人工知能（AI）のモデルを開発したり、膨大なデータを学習させたり、実際に推論（AIがデータに基づいて判断を下すプロセス）を実行したりするために必要な、ハードウェアとソフトウェアの基盤全体を指す。AIの学習や推論には、大量のデータ処理と複雑な計算が要求されるため、特にGPU（Graphics Processing Unit）などの高性能なプロセッサが集積されたサーバーが用いられるのが一般的だ。ニュースで具体的に言及されている「Open WebUI」は、ChatGPTのようなAIチャットインターフェースを自分で構築し、運用できる人気のAIツールの一つだ。このようなAIツールが動作する基盤は、前述したように非常に高い計算能力を持っているため、クリプトジャッキング攻撃者にとっては非常に魅力的な標的となる。高性能なGPUを備えたAIインフラを乗っ取れば、効率的に、かつ自分の電気代をかけることなく暗号資産のマイニングを行うことができるからだ。

今回の攻撃では、Wiz社とSysdig社という二つのセキュリティ研究機関が、それぞれDevOpsツールとAIツールへの攻撃を発見したと報じられている。「同じ手法と暗号通貨マイナーを使用して」という記述は、特定の高度な攻撃手法が、異なる種類のインフラ（DevOpsツールとAIインフラ）に対して使い回されている可能性を示唆している。サイバー攻撃者は、一度効果的な侵入手法を発見すると、それを横展開して、より多くの計算リソースを持つシステムを狙う傾向がある。公開APIサーバーが標的となったのは、それがインターネットに公開されており、外部からアクセスしやすいためだ。そこを足がかりに内部システムへの侵入を試み、最終的にシステムを乗っ取って計算リソースを不正利用するのが攻撃者の手口である。

システムエンジニアを目指す皆さんにとって、このニュースは、最新の技術動向とセキュリティリスクが密接に関わっていることを強く示している。DevOpsの普及やAI技術の進化は、IT業界に大きな変革をもたらしている一方で、新たな種類のセキュリティリスクも生み出している。高性能なコンピューティングリソースを持つシステムは、常にサイバー攻撃者の標的となりやすい。そのため、システムを構築・運用する際には、利用するツールの設定を適切に行い、既知の脆弱性がないか常に最新の情報をチェックし、不要なネットワークポートを開放しない、強力な認証メカニズムを導入するなど、厳重なセキュリティ対策が不可欠となる。

特に、インターネットに公開されるAPIやサーバーのセキュリティは、最優先で考慮すべき点である。ソフトウェアの開発段階からセキュリティを設計に組み込む「セキュリティ・バイ・デザイン」の考え方や、システム運用中に不審なアクティビティを常に監視する体制の構築も極めて重要だ。今回の攻撃事例は、DevOpsやAIといった最先端の技術を活用するシステムにおいても、基本的なセキュリティ対策がおろそかになると、甚大な被害につながる可能性があることを明確に示している。今後のITシステムの開発においては、単に便利で効率的なシステムを作るだけでなく、いかに安全で堅牢なシステムを構築・運用できるかが、システムエンジニアの重要な役割となるだろう。