クラウド上のストレージ・DBを無差別に破壊する「Meow攻撃」とデータ消去

【背景と概要】

サイバー攻撃の目的といえば、身代金の要求（ランサムウェア）や個人情報の売却（データ盗聴）が一般的です。しかし、金銭目的や情報流出すら目的とせず、インターネット上に誤って露出しているデータベースやストレージを発見し、警告や交渉なしに「データを全消去・上書き破壊する」という不条理で悪意に満ちた自動化攻撃「Meow攻撃（Meow Attack）」および類似の無差別破壊活動が続いています。

金銭交渉の余地すら与えられず一瞬でデータが消滅するため、適切なバックアップや設定管理が行われていない企業に破滅的なダメージを与えます。

【Meow攻撃の手口と自動化メカニズム】

攻撃者は特定の企業を狙うのではなく、インターネット全体を全自動ボットで無差別スキャンします。

1. 未認証オープンデータベースの自動スキャン

Elasticsearch、MongoDB、CouchDB、Redis、Cassandraなど、設定ミスによってパスワード認証なしでインターネット全体からアクセス可能になっているデータベース（ポート）を全自動プログラムが常時探索します。

1. データの即時削除と「`meow`」文字列の上書き

認証なしで接続できたデータベースを発見すると、ボットは即座にデータベース内のすべてのテーブルやインデックス、スキーマを削除コマンドで消去します。その後、データが存在していた場所に「`meow`（ミャオ）」というランダムな文字例だけを残して通信を切断します。

1. 暗号化や復号キーの提示なし

身代金要求文（Ransom Note）や連絡先が残されないため、データを復元するための対話を行うことすら不可能です。

【なぜこのような無差別破壊攻撃が行われるのか】

セキュリティ設定を怠っている管理者に対する嫌がらせ、あるいはハッカーグループによる自身の自動化スキルの誇示、さらにはセキュリティ意識の低さを啓発（ただし過激な手法で）することなどを目的に自動ボットが稼働し続けていると言われています。

【無差別データ破壊攻撃から自社資産を守る防衛策】

クラウドデータベースの基本的な構成管理とアクセス遮断がすべてです。

1. データベースのパブリック露出の根本的禁止

原則として、すべてのデータベースや検索エンジン（Elasticsearch等）をパブリックIPアドレスに紐付けず、VPC（プライベートネットワーク）の内部セグメントへ配置します。

1. デフォルト認証の有効化とIPバインドの制限

データベースの設定ファイル（`mongod.conf` や `elasticsearch.yml` 等）において、`bindIp` を `127.0.0.1` や内部IPのみに制限し、パスワード認証やTLS暗号化を初期設定段階で必須化します。

1. CSPMによる「未認証データベース」の自動リアルタイム検知

CSPMツールを活用し、自社のクラウド環境内にインターネットから認証なしでアクセス可能なデータベースが存在しないかを常時スキャン・自動検知する体制を整えます。