ウイルスではなく電話:ルナ・モスの手口

ほとんどの人はランサムウェア攻撃というと、突然のロックアウトを思い浮かべるだろう。ファイルが暗号化され、赤い画面に身代金要求が表示され、システムが凍結される。ルナ・モスはそのステップを完全にスキップする。このグループは、サイレント・ランサム・グループやチャッティ・スパイダーという別名でも追跡されており、よりシンプルなアイデアに基づいた恐喝ビジネスを構築している。データを盗み、公開すると脅し、被害者の実際のシステムには一切触れないのだ。

Aardwolf Securityの報道によると、ルナ・モスの手口は通常、マルウェアではなくソーシャルエンジニアリングから始まる。受付窓口、ヘルプデスク、日々の電話対応を行う従業員が侵入口となる。グループが足場を固め、ファイルを外部に持ち出した後は、直接脅迫に移る。支払うか、盗んだ文書を公開するか。暗号化も、従来の意味でのランサムウェアのペイロードもなく、ただ期日と値札があるだけだ。

このアプローチが重要なのは、組織が何年もかけて構築してきた多くの防御策を迂回するからだ。暗号化対策のバックアップや災害復旧計画は、すでに外部へコピーされたファイルの漏えいを防ぐことはできない。ルナ・モスが悪用する唯一の本当の弱点は、電話での人間の判断であり、まさにそのため、自分たちは十分に防御されていると考えている組織に対しても非常に効果的であることが証明されているのだ。

法律事務所がプレミアムな標的となる理由

エリート法律事務所は、膨大な機密情報を抱えている。公開前の合併詳細、訴訟戦略、秘匿特権のある通信、著名なクライアントに関連する個人記録、そして、それらの情報が表面化するくらいなら静かに支払う方を選ぶ企業の財務データなどだ。守秘義務とクライアントの深い財布の組み合わせは、開示を必死に避けようとする被害者に依存するビジネスモデルを持つグループにとって、法律事務所を異常なまでに魅力的な標的にしている。

小売店や病院とは異なり、法律事務所の核心的な価値は信頼と慎重さである。情報漏えいは単に金銭的損失をもたらすだけでなく、弁護士過失のリスクを引き起こし、数十年かけて築いたクライアント関係を損ない、場合によっては規制当局や弁護士会による調査にさらされる可能性もある。攻撃者はこのレバレッジを理解しており、だからこそデータ窃取型の恐喝キャンペーンは、業界全体に均等に労力を分散させるのではなく、ますます法務部門に狙いを定めているのだ。このパターンは他の場所でも見られる傾向を反映している: 2025年にランサムウェアは減少せず、ただ再編成されただけだ。その再編成の方向性は、業務の混乱ではなく、暴露リスクから利益を得るこのような戦術へと向かっている。

支払うか拒否するか:3つの異なる結果

最近の大手事務所に対するルナ・モスの一連の活動は、この問題がどのように展開するかを実際に比較する機会を提供している。ジョーンズ・デイは4月に1300万ドルの要求に直面し、支払いを拒否したとみられる。対照的に、ウィルマー・ヘイルとグッドウィン・プロクターはグループに数百万ドルを支払ったと報じられている。実際、グッドウィン・プロクターの支払いは、別の報道によると約1000万ドルで、グッドウィン・プロクターのルナ・モスへの1000万ドル支払いで詳述されており、同事務所が侵害の開示後、どのようにしてその決定に至ったかが説明されている。

支払いが根本的な問題を実際に解決するという明確な証拠はない。セキュリティ研究者は長年にわたり、恐喝グループに金銭を渡してもデータ削除が保証されるわけではなく、コピーがすでに別の場所に存在する可能性を帳消しにするわけでもなく、同じグループが再び戻ってくるのを防ぐわけでもないと警告してきた。この警告は理論上のものではない。最近のランサムウェア支払いに関する業界調査では、支払いは恐喝を終わらせるどころか、繰り返しの恐喝を助長する傾向があることが判明している。なぜなら、支払いは攻撃者に対して、標的が圧力下で交渉する用意があることを確認させるからだ。

これがあなたにとって意味すること

あなたが法律事務所のクライアントである場合、またはあなたに関する機密の個人情報や財務情報を保有する組織のクライアントである場合、この話はデータ保護が単にIT部門の問題ではないことを思い出させてくれる。このような法律事務所のランサムウェアデータ恐喝事件は、あなたが何も悪いことをしておらず、攻撃者と直接の関係がなくても、あなたの情報が侵害に巻き込まれる可能性があることを示している。事務所が支払うかどうかの決定は、あなたのデータが公開されるか、売却されるか、単に削除されるかに影響し、その決定はしばしば重大な時間的プレッシャーの下で下される。

あなたの機密記録を扱うプロフェッショナルサービスに、いくつかの直接的な質問をすることは妥当だ。クライアントデータはどのようにセグメント化され、保存時に暗号化されているか。事務所のインシデント対応および通知ポリシーは何か。事務所に過去にセキュリティインシデントはあったか、またそれらはどのように開示されたか。これらの質問を真剣に受け止め、明確に回答できる事務所は、ルナ・モスのような攻撃が自社のシステムに到達した場合に、被害を限定的に抑えるための体制が整っていることが一般的だ。

実践できる教訓

法的・金融サービスが高価値・高機密性のデータを一箇所に集中させ続ける限り、この法律事務所ランサムウェアデータ恐喝のパターンは続く可能性が高い。読者のためのいくつかの実践的なステップ:法律事務所や財務アドバイザーに、データ管理と侵害通知の慣行について直接質問すること、日常的な内容に聞こえても、アカウントやシステムアクセスを求める不審な電話に警戒すること、そして受け取った侵害通知に注意を払うこと。なぜなら、それらは最初の窃盗からかなり経ってから届くことが多いからだ。これらの恐喝キャンペーンがどのように機能するかについて情報を得続けることは、侵害自体があなたの手の届かないところで起きたとしても、自分の情報を守る最も簡単な方法の一つである。