連邦捜査当局は、サイバーインシデント交渉会社2社の幹部らが、ShinyHunters恐喝グループと異例に密接な関係を保っていたと特定したと報じられている。セキュリティ・アーセナルが要約したKrebsOnSecurityの報道によると、米国拠点の幹部1名はさらに一歩進み、被害者に支払いを迫るために使われたウェブサイトの運営を支援したとされている。ShinyHuntersの身代金交渉者による恐喝サイトという疑惑はあくまで疑惑に過ぎないが、いつの日か侵害されるかもしれない企業にデータを預ける誰もが直面する厳しい問いを投げかけている。交渉のテーブルの向こう側にいるのは、一体誰なのか。

捜査当局が交渉者とShinyHuntersについて主張していること

報道によれば、連邦捜査当局はFBIのデータと協力して、ShinyHuntersと密接な接触を持っていた交渉会社2社の幹部らを特定した。そのうちの1人、米国拠点の幹部は、同グループが被害者に身代金を支払わせるために使用したサイトの運営を支援したとされている。

いくつかの点を心に留めておく価値がある。入手可能な要約には起訴内容は示されておらず、主張は捜査当局が疑っている事柄に関する報道に基づくものである。本稿が確認した資料では、幹部らもその所属企業も名指しされていないため、身元について推測することはしない。これは進展中の記事として扱い、より多くの情報が確認されるにつれて詳細が変わることを想定すべきだ。

身代金交渉と恐喝サイトの仕組み

企業がデータ窃取やランサムウェア攻撃を受けると、攻撃者との通信を処理するために外部企業を雇うことがよくある。こうした交渉者は通常、何が盗まれたかを確認し、要求額を下げようと試み、企業が支払うことを決めた場合には支払いを手配する。犯罪者と直接話すため、彼らは機密知識を握っている。被害者がいくら支払えるか、どのデータが取られたか、企業の期限がどれほど切迫しているか、といったことだ。

恐喝サイトは反対側の圧力手段である。ShinyHuntersのようなグループはウェブサイトを使い、被害者を名指しし、窃取したデータを公開すると脅し、企業を取引へと追い込む。サイトは売り込みの一部だ。脅威がより信憑性があり恐ろしいものであるほど、被害者は支払う可能性が高くなる。

だからこそこの疑惑は重要なのだ。もし交渉者が圧力サイトの運営も手伝っていたなら、理論上は同一人物が被害者の信頼する助言者であり、同時に脅威の加担者でもあり得る。これは典型的な利益相反であり、被害者はそれについて知らないかもしれない。

インシデント対応における利益相反が重要な理由

インシデント対応は信頼に依存している。侵害された企業は、復旧を支援する人々にログ、ネットワークの詳細、機密の事業情報を渡す。そうした助言者の誰かが攻撃者とつながりを持っていれば、いくつかの問題が起こり得る。

  • 交渉の leverage が漏れる可能性がある。 被害者の予算や期限を知ることは、恐喝者が価格を設定するのに役立つ。
  • 助言が歪められる可能性がある。 利益相反のある助言者は、別の方法で復旧するのではなく、企業を支払いへと誘導するかもしれない。
  • データの取り扱いが不確かになる。 支払いは窃取データの削除を買うはずだが、他の最近の恐喝事例と同様に、データが本当に消えたことを確実にする方法はない。

侵害された企業の中に記録を持つ顧客、患者、学生、従業員にとって、これは自分の手の届かない問題だ。交渉者を選ぶのは自分ではなく、それが誰だったかを知ることもほとんどない。業界全体として、これはより明確な審査と利益相反の開示を求め、規制当局や保険会社がこれらの企業のスクリーニング方法を検討する理由となる。

これがあなたにとって意味すること

自社のベンダーのインシデント対応パートナーを監査することはできない。できるのは、交渉を誰が担当したかにかかわらず、自分のデータが悪者の手に渡った場合の被害を限定することだ。支払いが情報の破壊を保証するものではなく、盗まれた詳細が後続の詐欺で再利用される可能性があると想定せよ。恐喝グループや模倣犯は侵害のニュースも悪用する。例えば、偽のShinyHuntersの性的恐喝メールが、脅迫を信憑性のあるものに見せるために実際の侵害の詳細を用いたと報じられている。

利用している企業が侵害された場合にすべきこと

侵害通知が届いたら、話が落ち着くのを待つのではなく行動せよ。

  1. 使い回したパスワードを変更する。 侵害されたサービスから始め、次に同じパスワードを共有する他のアカウントへ。各アカウントに固有のパスワードを使い、理想的にはパスワードマネージャーに保存する。
  2. 多要素認証を有効にする。 可能な場合はSMSより認証アプリまたはハードウェアキーを優先する。
  3. フィッシングや恐喝メールに注意する。 あなたに関する実際の詳細を引用し、金銭や緊急の行動を要求するメッセージには懐疑的になれ。返信したり、リンクをクリックしたり、添付ファイルを開いたりしない。代わりに企業の公式サイトへ直接アクセスする。
  4. 通知自体を確認する。 攻撃者は侵害通知を模倣するため、確認できるチャネルを通じて企業から届いたことを確かめる。
  5. アカウントを監視する。 銀行やカードの明細を確認し、通知が金融または身元データの露出を示している場合は信用凍結を検討する。

結論

身代金交渉者とShinyHuntersの恐喝サイトとの間の疑惑のつながりは、まだ確定した案件ではないが、侵害対応のどれだけ多くが個人には見えない信頼の上で成り立っているかを示している。事実が完全に立証されるまで、賢明なアプローチは毎回同じように自分自身を守ることだ。固有のパスワード、多要素認証、そして漏洩したあなたのデータに頼って脅してくるあらゆるメッセージへの健全な疑いの目。あらゆる侵害通知の後にこうしたことを行えば、攻撃者やその仲介者が握っているものの価値を減らすことができる。