Teslaのドメインを悪用したサイバー攻撃の可能性 - Assetnoteスキャナーが誤って一般IPを攻撃
I'm being cyberattacked by Tesla, Inc
筆者は、自身のサーバーがTesla, Inc.のドメイン(pool-ntp.tesla.com)を宛先とするサイバー攻撃を受けていることに気づいた。攻撃はAssetnote(現在はSearchlight Cyber)の攻撃サーフェス管理ツールからのもので、3つのAWS IPアドレス(54.165.75.96, 35.168.63.24, 52.44.200.251)から発生していた。Teslaはpool-ntp.tesla.comをpool.ntp.orgにCNAMEしており、このCNAMEがNTP Poolの一般サーバーIPに解決されるため、AssetnoteがTeslaの資産と誤認して攻撃対象を拡大したと推測される。攻撃者はLog4Shell、SSRF、パス・トラバーサルなど多様なエクスプロイトを試みたが、筆者のサーバーはいずれも防御に成功した。筆者はTeslaに通知したが、現時点では対応はなく、攻撃は継続している。同様の攻撃を他のNTP Poolサーバー運用者も受けている可能性がある。
- 筆者のサーバーが pool-ntp.tesla.com を宛先とする攻撃を受け、送信元は Assetnote(現 Searchlight Cyber)の攻撃サーフェス管理ツールの3つのAWS IPアドレスだった。
- Teslaは pool-ntp.tesla.com を pool.ntp.org にCNAMEしており、解決先がNTP Poolの一般サーバーIPになるため、AssetnoteがTeslaの資産と誤認して攻撃対象を拡大したと推測される。
- 攻撃では Log4Shell、SSRF、パス・トラバーサルなど多様なエクスプロイトが試行されたが、筆者のサーバーはすべて防御に成功した。
- 筆者はTeslaに通知したが現時点で対応はなく攻撃は継続しており、同様の攻撃が他のNTP Poolサーバー運用者にも及んでいる可能性がある。
攻撃サーフェス管理ツールの誤判定が、ドメインのCNAME設定を介して無関係な一般サーバーへ攻撃を波及させた事例。Teslaほどの大手でも pool-ntp.tesla.com を pool.ntp.org にCNAMEしているだけで自社資産と誤認される点は、外部公開ドメインとサードパーティ依存の設定が資産管理・攻撃サーフェス把握の精度を損なうリスクを示す。Assetnoteを買収したSearchlight CyberなどASM/セキュリティ運用ツール市場の信頼性は投資テーマになる一方、Teslaが通知後も未対応で攻撃が継続している点は、大手企業の脆弱性対応ガバナンスの遅さとして注視したい。