新たなランサムウェアオペレーションが、犯罪に手を染めようとする者たちへ積極的な売り込みをかけている。eSecurity Planetの報道によると、Dark Projectはアフィリエイトに恐喝支払金の80%を提供し、これまでに38件の被害者を主張している。Dark Projectのランサムウェア・アフィリエイトモデルは、恐喝の経済学が攻撃者に有利な方向へ絶えず傾いていること、そしてデータを保有する組織が攻撃を受けたとき、その consequences を一般の人々がしばしば感じることを思い起こさせる。

本記事では、報道から判明している事実、支払配分構造がなぜ重要なのか、そして組織と個人の双方が何をできるのかを扱う。一次資料は簡潔であるため、確認できる内容に限定する。すなわち、アフィリエイトへの80%の取り分と、38件の被害者という主張である。

Dark Projectの80%アフィリエイト支払の仕組み

Dark Projectはランサムウェア・アズ・ア・サービス（RaaS）モデルに従っている。RaaSの取り決めでは、中核となるグループがマルウェアとその周辺インフラを構築・維持する。アフィリエイトは別個のオペレーターであり、実際の侵入と恐喝の試みを実行する。被害者が支払うと、金銭は両者の間で分割される。

ここでは、報告されている配分により、アフィリエイトが各恐喝支払金の80%を受け取る。オペレーターは残りを保持する。38件という被害者数はグループによる主張であり、関係組織や独立した研究者によって確認されるまで未検証として扱うべきである。

分業こそがこのモデルの要点である。開発者はツール、リークサイト、交渉インフラに集中する。アフィリエイトは侵入に集中する。各側は完全に独立したクルーよりも少ない作業で済み、それがこのモデルがこれほど広まった理由である。確立されたグループがこのアプローチの下でどのように活動してきたかの詳細については、BlackCat/ALPHVランサムウェアプロファイルを参照されたい。

寛大なRaaS配分が恐喝への参入障壁を下げる理由

高いアフィリエイト率はリクルートツールである。新興グループは確立されたブランドと技能ある侵入者を奪い合わなければならず、より大きな取り分は彼らを引き付ける一つの手段である。80%の取り分は、ネットワークへのアクセスを得られる者にとって金銭的に魅力的なオファーとなる。

技能面での効果もある。プラットフォームが暗号化ツールとリークインフラを提供するため、アフィリエイトはマルウェアを書いたり交渉業務を運営したりする必要がない。それにより技術的なハードルが下がり、攻撃を試みることができる人々の母集団が広がる。

その結果、より多くの試行が、より多くの標的に広がり、人々に関する機微な記録を保有しながらセキュリティ予算が限られている組織も含まれる。このパターンは、人身取引生存者を支援する非営利団体へのランサムウェア攻撃のような事例に見られ、そこでは重要性は技術的な洗練度よりも、誰が影響を受けたかにあった。

組織が監視・強化すべき点

侵入するのはアフィリエイトであるため、防御側は特定グループのブランドではなく、ネットワークへの一般的な侵入経路に焦点を当てるべきである。実践的な優先事項には以下が含まれる。

  • リモートアクセス: VPN、リモートデスクトップ、その他外部に露出したサービスを見直す。多要素認証を強制し、迅速にパッチを適用する。
  • 認証情報: 異常なログイン、使い回されたパスワード、過剰な権限を持つアカウントに注意する。
  • データ移動: 大規模または予期しない外向き転送を監視する。現代の攻撃は通常、暗号化の前にデータを窃取することを伴うためである。
  • バックアップ: オフラインまたは不変のコピーを保持し、定期的に復元をテストする。バックアップは復旧に役立つが、データ窃取をなかったことにはしない。その理由は二重恐喝の解説記事で説明している。
  • リークサイト監視: 自組織やベンダーが恐喝サイトに掲載されていないかを追跡し、早期に対処できるようにする。

これがあなたにとって意味すること

ほとんどの人はRaaSアフィリエイトの直接の標的になることはない。露出は二次的に生じる。雇用主、保険会社、医療提供者、航空会社があなたのデータを保有し、その組織が攻撃されるのである。恐喝グループが窃取したファイルを公開すると、情報は広く流通し得る。870万人の英国空港旅行者記録のリークのように。

利用しているサービスが被害に遭った場合は、以下の手順を検討されたい。

  1. 公式通知を注意深く読む。 どのカテゴリのデータが関係したか、また信用監視などの提供される保護に注意する。
  2. そのサービスのパスワードを変更する。また、同じパスワードを使い回した他のアカウントも変更する。パスワードマネージャーを使って固有のパスワードを作成する。
  3. 多要素認証を有効にする。利用可能なあらゆる場所で。
  4. フィッシングに警戒する。 窃取された連絡先情報は、侵害に言及した説得力のある後続の詐欺にしばしば使われる。予期しないメッセージ内のリンクをクリックせず、組織のサイトへ直接アクセスする。
  5. 金融口座を監視する。社会保障番号などの識別子が露出した場合は、信用凍結を検討する。
  6. 記録を保持する。通知や不審な活動の記録を残す。

要点

Dark Projectのランサムウェア・アフィリエイトモデルは、持続的な傾向を示している。収益配分が侵入を行う者に有利であるとき、より多くの人々が試そうとする。これまでに主張されている38件の被害者は未確認だが、重要なのはその背後にある構造である。組織はアクセスポイントを強化しデータ窃取を監視すべきであり、個人は信頼する企業が侵害を開示したときに迅速に行動できるよう備えるべきである。

バックアップからの復元が現代の恐喝を止めない理由を理解するには、二重恐喝ランサムウェア解説記事を読まれたい。窃取されたデータが実在の人々にとって何を意味し得るかについては、Beacon Mutualランサムウェア侵害の報道を参照されたい。