バックドアは通常の認証を回避する仕組みです。開発者がメンテナンスやデバッグのために意図的に組み込む場合もあれば、攻撃者がアクセス権を取得した後に仕掛ける場合もあります。いずれにしても、正面玄関を通らずに侵入を可能にします。バックドアは、ハードコードされたパスワードを持つ隠しアカウント、シェルを開く秘密のコマンド、あるいは攻撃者のサーバーに接続するリモートアクセスツールなどである可能性があります。

バックドアは、標準的なセキュリティ制御では検知できないため危険です。ファイアウォールは通常のトラフィックしか認識しません。アンチウイルススキャンでは、カスタムのマルウェアを見逃す可能性があります。2013年のTarget社の情報漏洩事件は、HVACベンダーから盗まれた認証情報から始まり、攻撃者は数ヶ月にわたる調査の間、アクセスを維持するためにバックドアをインストールしました。サプライチェーン攻撃では、ソフトウェアアップデートにバックドアが仕込まれ、何千もの組織がバックドアを意図的にインストールしてしまいます。2020年のSolarWinds社の情報漏洩事件はまさにその典型です。バックドアを検出するには、異常な動作、異常な送信接続、予期しないアカウントアクティビティを監視する必要があります。バックドアを削除するには、多くの場合、影響を受けたシステムを最初から再構築する必要があります。他人が制御したマシンを信頼することはできません。

バックドアの種類

• ハードコードされた認証情報 — ソフトウェアに組み込まれた隠しアカウント
• リモートアクセス型トロイの木馬 ― 攻撃者に制御権を与えるマルウェア
• ウェブシェル ― 永続的なアクセスを可能にするためにサーバーにアップロードされたスクリプト
• サプライチェーンインプラント — 正規のアップデートに挿入された悪意のあるコード

バックドアは必ずしも悪意を持って作られたものではない。開発過程で残されたものが削除されずに残っている場合もある。そうしたバックドアも同様に危険だ。