一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は9月6日、SIPサーバの不正利用に関するインシデント報告を受領していることから注意喚起を発表した。また、同時期に別の報告者から、不正アクセスを受けたサーバにSIPサーバを攻撃するツールが設置されていたというインシデント報告を受領していたことから、攻撃者は不正に侵入したサーバにSIPサーバを探索してSIPアカウントを窃取する攻撃ツールを設置し、攻撃を行っていたと推測している。攻撃の概要は、以下の通りとなる。攻撃者は、公開されているSIPの脆弱性検証ツールを改造し、最終的に攻撃者に情報が集まるようなプログラムを用意する。そして攻撃者は、弱いパスワードや脆弱性を残したまま運用しているサーバや機器に侵入し、攻撃ツールを動作させる。攻撃ツールが動作しているサーバは、インターネット上に公開されているSIPサーバなどを探索、SIPサーバを発見した場合、約13万行に及ぶ辞書攻撃を行い、SIPアカウントを窃取する。窃取後、攻撃ツールは外部サーバにメールで送信する。JPCERT/CCでは、SIPサーバを最新のバージョンすることと、SIPアカウントに強固なパスワードを設定するよう呼びかけている。
