先日FBIから極めて機密性の高い情報を窃取したハッキンググループ「ShinyHunters」を追う連邦捜査官らが、事件に関連する幹部らを特定したと報じられた。Krebs on Securityが最初に報じた記事によると、捜査官らは身代金交渉人がShinyHuntersの恐喝ウェブサイトを運営していたと疑っている。もしそれが事実と判明すれば、ほとんどの人が目にすることのないサイバー犯罪経済の一角にスポットライトが当たることになる。

現時点で入手可能な詳細は限られており、ここに記されたことは立証された結論には程遠い。本記事は報道された内容に限定し、企業のデータベースにデータが保管されている人々にとってそれが何を意味しうるかを説明する。

捜査当局がShinyHuntersの恐喝サイトについて主張していること

報道によれば、ShinyHuntersがFBIから極めて機密性の高いデータを窃取した後、同グループを追う米国連邦捜査官らは、身代金交渉人として働く人物が同グループの恐喝ウェブサイトの背後にいたと現在疑っている。要約はまた、捜査官らが幹部らを特定したとも述べているが、入手可能なテキストにはどの企業や人物が関与しているかは明記されていない。

情報源の資料が簡潔なため、いくつかの疑問が残されている。訴追が行われるのか、疑わしい関連性がどのように立証されたのか、そして何らかの企業が果たした役割は何か、といった点である。疑念は有罪判決ではないため、読者は当局がさらなる情報を発表するまで、この主張を申し立てとして扱うべきである。

この話を注目すべきものにしているのは、役割の重複の可能性である。交渉人は通常、被害者が攻撃者に対処するために雇うものである。交渉人が同時に圧力キャンペーンを運営していれば、テーブルの両側に座ることになる。

ShinyHunters型の恐喝はどのように機能するか

このカテゴリーのグループは通常、システムをロックするだけでなく、データの窃取に焦点を当てる。基本的なパターンは単純である。

  • 攻撃者が企業のシステムやアカウントにアクセスし、機密データをコピーする。
  • 被害者に要求を連絡する。多くの場合、期限が設定されている。
  • 恐喝ウェブサイトは、被害者を名指しし、窃取の証拠を示し、公開を脅すために使用される。
  • 被害者が支払わない場合、窃取された記録が流出または販売される可能性がある。

リークサイトは圧力の道具である。公開リストは評判リスクを生み、顧客や規制当局に警告を発し、経営陣を迅速な決定へと追い込む。だからこそ、そのようなサイトを運営する者の正体が捜査官にとってこれほど重要なのである。それは作戦全体の玄関口だからだ。

なぜ身代金交渉人と仲介業者が精査されているのか

交渉人や復旧企業が存在するのは、多くの組織が犯罪者への対処経験を持たないからである。彼らは価格について助言し、窃取されたデータが本物かどうかを検証し、時に支払いを処理する。機密情報へのアクセスと信頼は、仲介業者が解決のために雇われたまさにその犯罪から利益を得るのであれば、明確な利益相反のリスクを生み出す。

この懸念は純粋に理論的なものではない。1900万ドルの身代金請求スキームで起訴されたMonsterCloudの所有者に関する我々の報道は、復旧企業が攻撃者に密かに支払った額をはるかに超える金額を被害者に請求したという申し立てを描写している。ShinyHunters事件はその具体的内容において異なり、依然として立証されていないが、両方の話は同じ問いを提起している。被害者は危機において雇った人々をどこまで信頼すべきなのか。

これがあなたにとって何を意味するか

ほとんどの人は恐喝グループと交渉することは決してないだろう。しかしあなたは、そうする企業の顧客、患者、従業員、または口座保有者かもしれない。実践的な教訓は、あなたのデータが第三者に保有された時点で、企業が支払うかどうかにかかわらず、最終的に露出する可能性があると想定することである。

身代金を支払っても削除は保証されない。窃取されたデータはコピーされ、転売され、後で流出する可能性がある。より安全な考え方は、単一の侵害があなたに及ぼしうる影響を限定することである。

流出した連絡先情報や注文記録は、標的型詐欺に一般的に使用される。Asus eShopのデータ侵害とフィッシングリスクに関する我々の記事は、支払いデータを含まない侵害でさえ、説得力のあるフィッシングメッセージにつながりうることを示している。

企業が侵害された際にあなたの露出を減らす方法

企業があなたの記録をどのように保護するかを制御することはできないが、被害を縮小することはできる。

  1. パスワードマネージャーを使用する。 すべてのアカウントに固有のパスワードを使用すれば、1つの漏洩が他を解錠することはない。
  2. 多要素認証を有効にする。 可能な場合はSMSよりもアプリベースまたはハードウェア方式を優先する。
  3. 侵害監視を有効にする。 アラートはあなたのメールや認証情報が漏洩データに現れたときに通知し、迅速に対処できるようにする。
  4. 共有するデータを減らす。 サービスには本当に必要なものだけを提供し、目的ごとに別のメールアドレスを使用する。
  5. 予期しないメッセージに懐疑的になる。 侵害通知の後は、あなたのアカウントに言及するメール、テキスト、電話を慎重に扱い、リンクをクリックするのではなく公式ウェブサイトに直接アクセスする。

主な要点

身代金交渉人がShinyHuntersの恐喝ウェブサイトを運営していたという疑念は申し立てであり、さらなる詳細が重要になるだろう。それでもなお、それは永続的な点を強調している。データ窃取型の恐喝は圧力によって繁栄し、その中間にいる人々は常に中立とは限らない。パスワードを厳格にし、MFAを有効にし、侵害アラートを監視し、できるだけ少ない個人データしか渡さないことで、自分自身を守ることができる。漏洩後に何が起こるかについては、Asus eShopのフィッシングリスクとMonsterCloudの請求に関する申し立てをお読みください。