ネットワーク内で使用している端末200台強に対して被害範囲の調査を行った結果、攻撃が行われた端末においてインシデント知覚約5時間前から攻撃開始されていたことが判明した。さらにサーバー4台に対し詳しい調査を行ったところ、ネットワークや認証情報の脆弱性が複数確認された。また、調査の目的の1つであったセキュリティ製品設置時の人的ミスが原因の脆弱性の悪用についても確認でき、侵害・横展開の痕跡があることから、ヒューマンエラーによる脆弱性を悪用し攻撃されたことが発覚した。​​

侵入経路についての調査で、VPNアカウントからのネットワーク侵入を確認。推測可能な脆弱なパスワードを利用していたことで悪用された可能性が高い点、自社運用サーバーのOSがサポート終了しており、サーバへの侵害が比較的容易だったと推測される点など詳細な調査結果をご報告。加えて、ロシアのサーバーへ暗号化されていない古い方式でファイル通信を行った痕跡があり、重要な情報が外部に流出した可能性が高い点についてもご報告。これらの結果をもとに、ホームページでの報告にお役立ていただいた。また、セキュリティ強化のためD-SOC（SIEM SOCサービス）を導入し、再発防止のサポートまで当社で一気通貫でご対応した。

詳細な攻撃活動に関する調査を実施した結果、感染発覚のおよそ1か月半前の履歴よりネットワーク内部への侵入・Windowsの認証情報を窃取するハッキングツール使用といった、攻撃者による事前偵察と思われる痕跡を確認。また、感染発覚前日にVPN経由でリモートデスクトップを通じた侵入があり、ランサムウェアを含む不審なファイルが実行された事実が判明した。 ダークウェブ上での情報漏えいの有無についても調査を実施し、調査時点で漏えいは確認されなかった点をご報告。本件に関する詳細な調査結果を調査報告書として納品するとともに今後のセキュリティ対策に関する推奨事項を提示し、再発防止までトータルサポートを行った。

侵入経路に関する調査を実施し、VPNのファームウェアを2年間更新しておらずライセンスが切れたまま使用していたことで、VPNの脆弱性を悪用して侵入していたことが判明。具体的な攻撃活動についてさらに詳細に調査し、攻撃者が実行された不審なファイルを削除し痕跡を隠ぺいしていたことも明らかになった。被害範囲については調査対象端末から他の機器への横展開の痕跡は確認されておらず、詳細な調査結果と再発防止のための推奨事項を調査報告書としてご納品した。また暗号化されたファイルと暗号化されていないファイルを仕分け、安全に使用できる状態でご納品し、業務復旧まで支援した。

サーバーのログ調査を行いロシア宛の暗号化されていない古い方式のファイル通信を確認。メール経由のフィッシングなどを起点としたマルウェア感染を経て、当該通信が攻撃者の侵入経路となったと考えられる。さらに調査対象端末に対して外部からの接続リモートデスクトップ接続が確認できており、当該端末が踏み台として利用され内部ネットワーク内で収集された認証情報を元に、他のサーバーへ不正アクセスが行われたことで感染が拡大したと推定。ランサムウェア実行直前には不審な外部通信が増加しており、情報流出が発生していた可能性が高く、時間差でリークサイトへ情報公開されるケースもあるため定期的なダークウェブ調査を行い、万が一の対応まで支援した。