2024年7月19日、ITインシデントが大きなニュースとなった。全世界で850万台のWindowsに障害が発生し、医療、運輸、金融などの多くのシステムが影響を受け、大きな社会的被害が発生した。これはサイバー攻撃ではなかったが、セキュリティソフトの不具合によるもので、当該セキュリティソフトを利用していた組織では、Windows端末が利用できなくなり、業務が止まってしまった。 New York Timesでは、この事件について、「歴史的規模」とのコメントを紹介した[1]。

情報セキュリティマネジメントシステムの国際標準であるISO/IEC 27002では、情報セキュリティを「情報の機密性（confidentiality）、完全性（integrity）、可用性（availability）を維持すること」と定義している。情報漏洩や情報改ざんなどで、機密性、完全性が話題になることも多いが、今回の問題は可用性の問題だったといえる。本稿ではこのインシデントについて取り上げ、課題と得られた教訓について検討したい。

インシデントの概要と影響

2024年7月19日午前4時9分（UTC：協定世界時）頃、米国のサイバーセキュリティ企業CrowdStrike（本社：テキサス州オースティン）がリリースしたWindows用のアップデートファイルが、システムクラッシュとブルースクリーン（BSOD：Blue Screen of Death）を引き起こすロジックエラーを発生させた。これにより、多くの端末がクラッシュを繰り返し起動不能となった。

これはサイバー攻撃によるものではないことが早々に確認され、同日午前5時27分（UTC）には修正ファイルがリリースされた。これにより、それ以降に起動した端末には影響はなくなったが、影響を受けた端末ではローカルでの作業が必要となる場合もあり、被害はすぐには収束しなかった。Microsoftは、自社のインシデントではないものの、「Windowsのエコシステムに影響を与える」として、Azure等を利用し直接サポートを実施。AWSやGoogle Cloud Platform等他のクラウドプロバイダや関係者とも協力して対応した。しかし、Microsoftによれば、この問題の影響を受けたWindows PCは世界で850万台に上ると推定されている。

これにより、世界各国で、緊急通報（米911）その他の通信、報道、医療、交通、政府サービス、金融などに大きな被害が出た。

緊急通報に関しては、米紙USA TODAYによれば、アラスカ他で911コールセンターが機能停止に陥ったほか、少なくとも7つの州で通信障害が発生し、全米で100件以上の障害報告があったとも報じられている[2]。仏Bouygues Telecomなどの通信事業者もこの影響を受けたとされる[3]。

報道にも影響が出た。英SKY Newsが放送できなくなった[4]ほか、他の世界各地の放送局も影響を受けた。

医療への影響もあった。米国などで、システムへのアクセスができなくなったことから、病院の予約や緊急を要さない手術がキャンセルされた。救急車の受け入れができなくなった病院もあるとされる[5]。緊急を要さない検査でも、がん患者の予後の管理に影響が出るなど、さまざまな問題が発生した[6]。

交通機関への影響も大きかった。米国FAAは同国の3大航空会社（American、United、Delta）に全世界での全フライトの一時停止を命じ、各社の航空機は離陸を許可されなかった。7月22日までに、10,000便以上の航空便がキャンセルされ、36,000以上が遅延したとされている[7]。また、世界各地で、システム障害により、搭乗券の発行や手荷物の預け入れなど、通常はシステムで行われているプロセスが手動で行われることになったとも報じられている[8]。特に被害が大きかったDelta航空では、5,000便以上が欠航した。Delta航空はCrowdStrikeとMicrosoftに少なくとも5億ドルの損害賠償を求めている[9]。

上記は被害の一部であり、英紙The Guardianは、保険会社の推定によれば、米国のFortune500企業の損失だけでも54億ドルに達すると報じている[10]。また、Bloombergは、保険で補償される損失額は、それよりもはるかに少なくなる見込みであると報じている。この報道によれば、保険関係企業の分析として、保険で補償される損失額は3億ドルから10億ドルの範囲、または4億ドルから15億ドルの間と推定されている[11]。保険でのカバーも難しいとすれば、顧客企業等にとっては、何とも悩ましい話である。

※この記事は会員サービス「InfoCom T&S」より一部抜粋して公開しているものです。