1月8日、全国数百ヶ所ある大麻施設で、オンラインサービスがオフラインになっているのが見つかりました。
「我々はシステム妨害を受けています。これまでのところ解決の目処は立っていませんが、引き続き情報を更新いたします」
MJフリーウェイ社のツイッターアカウントが発表しました。これは数ヶ月ぶりの更新でした。MJフリーウェイ社がクライアントのアカウントに対する完全性を回復しようと休むことなく作業する間、同日、そしてその後10日間にわたり、同様のツイッター投稿が繰り返されました。MJフリーウェイ社はハッキングされていました。
デンバーを拠点とするMJフリーウェイ社は、種子から販売までを扱う大麻業界をサポートする最も大きなソフトウェア会社です。MJF社は、大麻栽培者、製造者、販売者に対し、業務管理ソリューション、ウェブサイト・ホスティング・プラットホームおよび販売ソフトウェアのポイントを提供しており、そのすべてがクラウドベースで行われています。2010年の設立からこれまで5億ドルの販売を扱ってきました。
MJフリーウェイ社に対するハッキング
MJF社のマーケティング情報部長ジャネット・ワードによると、MJF社がサポートする1000以上のブランドのうち500が影響を受けました。500ブランド、またはクライアントの多くは複数の店舗を持ち、それぞれがウェブサイトを持ちます。攻撃者はウェブサイトと、情報保管場所である複合的な冗長バックアップサイトに侵入しました。
「MJフリーウェイ社は複数のホスティング会社における複数の場所に複合的な冗長バックアップサイトを多数所有しています。攻撃は破損に重点を置いています」とワードは話しています。
各クライアントはデータのパズルのようになっており、それぞれ異なるパズルのピースが破損されました。MJF社は元どおりにするために各クライアントを調査した、とワードは説明しました。
「私たちは各クライアントのために文字通りパズルのピースを戻しているところです。かなり複雑な作業です」
すべてのウェブサイトが完全に機能するようになったのは10日後でした。そして2月21日に、過去のデータの90%のみが回復しました。ワードは、本誌発売後の2月末までには完全に回復できると推定しました。
第三者の法医学的証拠は、ハッカーがデータを盗むこともできたにもかかわらず、データを抜き取ろうとしなかったことを示しています。
「つまりハッカーの目的は間違いなく破損だったのです」とワードは言いますが、その理由はまだ分かっていません。何故かは分かりませんが、結論を引き出すことはできます。データを破損したいとだけ願うのは何故でしょうか？それに関しては取り組み方がいくつかあります。破損は確実に弊社とクライアントに損害を与えます」
対応に追われた大麻薬局
大麻薬局には長い列が並び、不満を抱く顧客があふれました。またハッキングにより、大麻施設と大麻対策課間の通信も故障しました。コロラド州の大麻施設は、種子から販売までMEDが各大麻を追跡するために使用する在庫追跡システム、Metricに在庫番号を接続しなければなりません。
MJF社は全ての必要な州規制機関に連絡し、何が起こっているかを伝えたとワードは話しています。一部の州はより理解がありました。MJF社はMEDにも混乱について報告してきた、とMEDの広報担当者ロバート・ゴールディングは話しています。
コロラド州の大麻薬局がハッキング期間の不履行のために永久に営業停止させられたという話は入ってきていません。ゴールディングもまた、技術的問題のためにコロラド州の大麻薬局が営業停止させられたことを、確認も否定もしていません。ゴールディングはThe Hemp Connoisseur誌に対し、州の基準に準拠する限り業務の継続は認められる、とするeメールを送りました。
「大麻対策課（MED）は、全ての規則との準拠を想定して、POSシステムとの技術的問題のために業務を停止する許諾状を要求していません」とゴールディングは書いています。
全てのライセンシーはMetricに対する毎日の在庫の毎日の調整を行うよう求められていると、ゴールディングは言います。
「これはウェブベースのアプリケーションで、いつでもアクセスできるので、毎日の調整は進行中の要求です」
それでもなお、ソフトウェアをバックアップし、可能なかぎり早く運行させ、クライアントに紙面による取引に切り替えるよう一時的な解決策を与える他にできることはありませんでした。また全ての必要とされる規制機関に連絡し、攻撃期間中に規制機関が訪問した時に備えてクライアントの資料を提供しました。しかし、一部の顧客をつなぎとめるにはそれでは不十分でした。デンバーに夫婦が営業する小さな大麻薬局ノーザン・ライツがあります。ノーザン・ライツはすでにMJF社を徐々にやめようとしていたので、ハッキング事件はその決断を固めただけでした。
「MJF社の最大の問題、そして私たちが一度も魅力に思わなかった理由の一つは、クラウドベースだという点です」
大麻業界に参入する前は科学技術業界で成功を納めていたノーザン・ライツの所有者、ミッチ・ウーライザーは言います。彼はクラウドベース・システムを信用していないので、ハッキングのことを知ったときに驚きませんでした。その規模には驚きましたが。
「MJF社には十分な冗長性があるだろうと思っていました。通常の攻撃は部分的に成功するのみでしょうが、今回の件は大失態です。とても内部犯行らしく見えますね」ウーライザーは業界の噂に同調しながら続けました。
ウーライザーは、デンバーとエッジウォーターの2つの拠点を持っています。エッジウォーター支店は既に、情報および在庫追跡のためにBiotrackTHC社に切り替えていますが、デンバー支店では今もMJF社を使用しています。
BiotrackTHC社はクラウドに頼る代わりに、ローカルサーバーにオペレーターを設置しているので、全てのデータがオンサイトで保存されます。したがってハッキングに対してはより攻撃を受けにくいですが、オペレーターがウーライザーのようにテクノロジーに精通していることが要求されるでしょう。ノーザン・ライツのデンバー店でシステムがダウンしたとき、彼らは紙面での取引に切り替え、毎日最後に全商品を 手動で州と調整しなければなりませんでした。非常に困難で時間のかかるプロセスでした。
この事件はBiotrackTHCの実行を1ヶ月早め、他の事業が何日も回復を待つなか、ノーザン・ライツは数日中に業務を再開させました。「私が考える限り少なくともオペレーターにとって今回の件から学ぶべきことは、時にシステムを内部に持つのは価値があるということです。Native Roots社やその他企業が何を失うことになったかを考えたら、数百万とはいかなくても数十万ドルになったかもしれません」とウーライザーは推測します。
この件から考慮すべき最大の点はなんでしょうか？それは大麻業界ですらハッカーの影響を受けやすいということです。
サイバー攻撃へのセキュリティ強化
ワードによると、攻撃があって以来、MJF社は防衛を強化し、さらにそれを追加しました。ワードが言及した追加の一つは、セキュリティレベルを高めるために全クライアントをAmazon WebServicesに移行させたことです。
JP Morgan、Target、Yahooといった大手銀行、販売店、技術系最大手企業はみなハッキングされています。
MJF社に起こったハッキングに取り組む捜査員は、この件がそれらの前例と同様に洗練されたものであったと話している、とワードは言います。詳細は述べられませんが、この件は警察によって捜査されているということです。
「私たちの希望は、前進した私たちよりも防御されている人はいないだろうということです。クライアントにとっては不運なことでしたし、業界にとっても不運なことでした。こういうことが起こると、ひどい打撃のようなものです。これがきっかけで業界はもっと良くなると思います」
抜粋:THC The Hemp Connoisseur
