自らをExfilSquadと称する比較的新しいデータ恐喝グループは、初めて確認されてから数週間で、13件の確認済み被害データ流出に関与していると、SC Mediaの報道が伝えている。同グループは7月26日に出現し、当初は15組織からデータを窃取したと主張していたが、その後の追跡により、そのうち13件の流出が確認された。ExfilSquadが無名の存在から二桁の被害者数を抱えるまでに至る速さは、データ恐喝活動がいかに急速に拡大し得るか、そして企業と個人の双方が、長年見出しを独占してきたランサムウェア攻撃とこの脅威がどう異なるのかを理解する必要がある理由を示している。

ExfilSquadとは何者か、そしてどのように活動しているのか

ExfilSquadは、今ではおなじみとなったデータ恐喝の手口を踏襲しているように見える。標的のネットワークに侵入し、機密ファイルを静かにコピーし、被害者が支払わなければそのデータを公開または販売すると脅迫する。通常はファイルを暗号化し、復号キーと引き換えに支払いを要求する従来のランサムウェアグループとは異なり、ExfilSquadのような恐喝中心のグループは暗号化の工程を完全に省略する。彼らの交渉力は、顧客記録、財務データ、内部通信、あるいは企業独自の業務情報など、情報を暴露するという脅しのみから生まれる。

ExfilSquadで際立っているのは、その時間経過だ。およそ1か月の間に、同グループは最初の公的主張から、十数件の確認済み被害者と関連付けられるところまで進んだ。このような速度は、効率的で十分なリソースを持つ活動か、あるいは幅広く網を張り、複数の標的を同時に追跡しているグループのいずれかを示唆している。また、恐喝経済でよく聞かれる疑問も浮上する。グループの主張のどこまでを額面どおりに受け取れるのか、という疑問だ。

影響を受けた組織とデータ

ExfilSquadが当初主張した15組織と、その後確認された13件の流出との差は注目に値する。恐喝グループが被害の規模を誇張することはよくある。被害者に早急な支払いを迫るため、あるいはサイバー犯罪フォーラムやリークサイトで注目を集めるためだ。すべての主張が精査に耐えるわけではなく、セキュリティ研究者は、盗まれたデータが本物か、過去の侵害から使い回されたものか、あるいは範囲が誇張されているかを検証するための時間をしばしば必要とする。

ExfilSquadの活動との関連で名前が挙がっている組織の1つが、電気製品販売業者のWescoだ。WescoによるExfilSquadの侵害主張に関する調査で報じられているように、同社は、グループが自社システムにアクセスしたと主張したことを受けて、サイバーセキュリティインシデントを調査していることを確認した。この事例は、こうした状況が通常どのように展開するかを示す現実の有用な例だ。主張が浮上し、名指しされた企業が内部調査を開始し、調査が進むにつれて範囲や影響の詳細が徐々に明らかになっていく。

データ窃取型恐喝と従来型ランサムウェアの違い

データ窃取型恐喝と従来型ランサムウェアの違いは、見かけ以上に重要だ。ランサムウェア攻撃は、多くの場合、業務面で即座に混乱を引き起こす。ファイルがロックされ、システムがダウンし、復号キーを入手するか、バックアップからシステムを復元するまで、業務が停止してしまう。対照的に、データ恐喝は静かに行われる可能性がある。攻撃者がバックグラウンドで機密ファイルをすでにコピーしていても、企業のシステムは通常どおり動き続けているかもしれない。最初の異変の兆候は、恐喝要求そのもの、あるいはExfilSquadに関連するようなリークサイトへの投稿であることが多い。

この変化は、組織がインシデントを検知し対応する方法にも影響する。ランサムウェアによる暗号化から保護するバックアップ戦略は、データ盗難の防止には何の役にも立たない。窃取を検知するには、暗号化されたファイルを監視するだけでなく、不審な外部へのデータ転送や不正アクセスのパターンを監視する必要がある。より多くのグループがこのモデルを採用するにつれて、セキュリティチームは、主にランサムウェアのシナリオを想定して構築されてきたインシデント対応計画を再考せざるを得なくなっている。

これがあなたにとって意味すること

あなたが恐喝の主張で名指しされた組織の顧客、従業員、またはパートナーである場合、攻撃者の数字が完全に正確かどうかにかかわらず、実際の懸念は同じだ。あなたの個人データが、あってはならない場所で流通している可能性がある。恐喝グループは、部分的な支払いを受けた後でも流出の脅しを実行することが多く、交渉が行き詰まればいずれにせよデータを流出させることもある。基本的な予防策を講じる前に公式の確認を待つのは、優れた戦略とは言えない。

企業にとって、ExfilSquadの事例は、検証には時間がかかるものの、影響を受ける顧客やパートナーへの連絡を不必要に遅らせるべきではないことを改めて示している。Wescoが取ったアプローチと同様に、調査中に透明性のあるタイムリーな最新情報を提供することは、インシデントの全容がまだ判明していない場合でも、信頼を維持するのに役立つ。

実践的なポイント

  • ExfilSquadの主張に関連付けられた組織と取引がある場合は、公式の侵害通知に注意し、アカウント情報に言及する迷惑メールや電話を疑ってかかること。
  • 資格情報モニタリングや信頼できるダークウェブスキャンサービスを有効にして、ログイン情報や個人データが流出していないか確認すること。
  • 影響を受けた可能性があると思われるサービスのパスワードを変更し、可能な限り多要素認証を有効にすること。
  • 企業は、外部へのネットワークトラフィック監視能力を監査すること。窃取はランサムウェア暗号化よりも明らかな痕跡を残さないことが多いためだ。
  • 事実が検証されるにつれて最新情報を把握できるよう、WescoによるExfilSquadの侵害主張に関する調査を含め、確認されたインシデントの継続的な報道をフォローすること。

ExfilSquadのようなデータ恐喝グループは、速度と不確実性を利用して繁栄し、被害者が常に検証できるよりも速く、主張から主張へと移っていく。未検証の主張すべてに反応するのではなく、確認されたインシデントについて情報を入手し続けることが、あなたのデータを保護し、侵害が実際にあなたに直接影響を及ぼした場合に適切に対応するための、最も信頼できる方法であり続ける。