Silent Ransom Groupと呼ばれる恐喝グループの内部チャットが流出し、ITなりすましヘルプデスク詐欺が舞台裏でどのように組織化されているのかを、防衛側が垣間見る貴重な機会となっている。GuidePoint Securityの調査チームGRITによる分析によれば、チャットからはITなりすましの手口、対面エージェントの活用、そして総額2億6,950万ドルに達する支払い台帳が明らかになった。

公開された要約は簡潔であるため、本記事はそこに記載されている内容に限定し、読者がそれをどう活用できるかに焦点を当てる。

Silent Ransom Groupのリークが明らかにしたこと

このリークが注目に値するのは、攻撃者自身から出たものだからだ。被害者の報告からキャンペーンを再構成するのではなく、研究者たちはグループ自身の会話にアクセスできた。要約されたGRITの分析は、次の3点を強調している。

  • ITなりすましの手口： グループは技術サポートを装うことをアプローチの中心に据えている。
  • 対面エージェント： この作戦は purely リモートではない。
  • 2億6,950万ドルの支払い台帳： 支払いの記録であり、作戦の規模を示唆している。

我々はチャットや台帳を独自に検証しておらず、要約にはその金額がどのように算出されたかの内訳もない。これは正確に監査された総額としてではなく、この種の攻撃がいかに収益性が高いかを示すシグナルとして読むのが最善だ。

ヘルプデスクなりすましの仕組み

ヘルプデスクなりすましの根底にある考え方は単純だ。攻撃者は、従業員が問題を解決してくれるとすでに信頼している人々を装う。私たちの大半は、ITに協力するよう条件づけられている。サポートから来たと言われ、少し時間をもらえれば、既定の反応は助けることだ。

その信頼が悪用される弱点である。ソフトウェアの欠陥を探すのではなく、攻撃者は人間の判断を狙う。リクエストを承認する、コードを共有する、誰かを入れてもよいと許可する、といったことだ。攻撃は説得に依存しているため、セキュリティツールが適切に設定されていても機能しうる。

同じパターンは他の最近のキャンペーンにも見られる。あるハッキンググループがMicrosoft Teamsを悪用して企業ネットワークに侵入していたと報じられており、Microsoft Teams上の偽ITサポートがランサムウェアの横行を助長に関する記事で取り上げた。2026年初頭に表面化した別の作戦は暗号化を完全に省略しており、BlackFileのビッシング恐喝とマルウェアなしのデータ窃取で説明したとおりだ。チャネルは変わる（チャット、電話、メール）が、「私たちはITであり、あなたに何かをしてほしい」という口実は変わらない。

対面エージェントと2億6,950万ドルの台帳が重要な理由

リークから際立つ詳細が2つある。

第一に、対面エージェントだ。多くのセキュリティ意識向上の教訓は、なりすましが画面や電話回線を通じて行われると想定している。地上の人員も使う作戦は、発信者の主張、名札、自信に満ちた態度を身元の証明として扱うべきではないことを示唆している。検証はメールや電話だけでなく、あらゆるチャネルに適用される必要がある。

第二に、台帳だ。2億6,950万ドルの支払い記録は、慎重に見ても、ソーシャルエンジニアリングに基づく恐喝が場当たり的ではなく、組織化され反復可能であることを示唆している。これは特に小規模組織にとって重要だ。犯罪者は大企業だけを狙うと想定しがちだが、プロセス主導の一団には、電話に出る誰に対しても同じ手口を実行する強い動機がある。

これはこうした手法がどれほど長く続いてきたかも反映している。Scattered Spiderが古いソーシャルの手口で新たな被害者を主張に関する我々の報道も同様の点を指摘した。実証済みの説得は、コードではなく人を標的にするため、機能し続けるのだ。

あなたにとってこれが意味すること

個人であれば、頼んでもいないのに正当そうに聞こえる「IT」からの連絡は、どれほどプロフェッショナルに聞こえても疑うに値するという教訓だ。中小企業を経営しているなら、専任のセキュリティチームはおそらくないだろう。だからこそ、明確で簡単なプロセスがどんなツールよりも価値を持つ。

実践的な目標は、誰があなたに連絡しているかとあなたが誰を信頼するかを切り離すことだ。発信者は誰にでもなりすませる。自分で調べた電話番号や、すでに使っているチケットシステムは、見知らぬ人の台本では偽造できない。

予期しないITサポートの連絡を検証する方法

これらの手順は、連絡が電話、チャット、メール、対面のいずれで来ても当てはまる。

  1. 求めていない連絡なら一旦止まる。 チケットを開いていない、助けを求めていない場合は、その連絡を既定で未検証として扱う。
  2. 折り返しの習慣を持つ。 電話を切るかチャットを終了し、連絡相手が教えた番号ではなく、公式の会社資料からすでに知っている番号やチャネルでITに連絡する。
  3. 求められてもコードを共有したりプロンプトを承認したりしない。 多要素コードやログイン承認は自分のサインインのためのものであり、助ける人が使うものではない。
  4. リモートアクセスの要求に注意する。 予期しない連絡を理由にツールをインストールしたり、画面制御を許可したりしない。
  5. 訪問者を確認する。 ITだと名乗る人が現れたら、デバイスや部屋へのアクセスを与える前に、実際のIT提供元や上司に確認する。
  6. 事前にプロセスを合意する。 小規模チームは、正当なITリクエストがどのように行われるかをあらかじめ決めておくべきだ。そうすればスタッフは本物がどんなものか分かる。
  7. 報告する。 騙されなかったとしても、不審な試みをIT担当者や上司に伝える。次は他の人が狙われるかもしれない。

要点

流出したSilent Ransom Groupのチャットは、ITなりすましヘルプデスク詐欺が実行側にとって一度きりのトリックではなくビジネスプロセスであることを強調している。防御もまたプロセスだ。落ち着いて、電話を切り、信頼できるチャネルで折り返す。その折り返し検証を、求められていないあらゆるIT連絡に対する習慣にし、チームや家族と共有しよう。同じ手口のさらなる例については、Microsoft Teams上の偽ITサポートとビッシングに基づく恐喝に関する我々の報道を読んでほしい。