Luna Moth恐喝グループに関連するリーク文書により、防御側はこの組織の運営体制をまれに垣間見ることができています。Infosecurity Magazineによると、この資料は、ソーシャルエンジニアリングの専門家とより技術的な攻撃者が協力して単一の標的を操作する、多角的な取り組みを示唆しています。Luna Mothのソーシャルエンジニアリング手法を理解しようとする人にとって、この役割分担が重要なポイントです。なぜなら、説得力のある1本の電話が、はるかに大規模な侵入につながる理由を説明しているからです。 ## Luna Mothのソーシャルエンジニアリング手法のリークが明らかにするもの このグループはSilent Ransom Group、Chatty Spider、UNC3753とも呼ばれています。FBIやIC3の検索結果で参照されている勧告を含む公開勧告では、IT担当者を装うなどのソーシャルエンジニアリング手法を用いて法律事務所を標的にしていると説明されています。別の脅威リサーチでは、データ恐喝キャンペーンの一環としてコールバックフィッシングの使用が説明されています。 報道に基づくと、今回の新しいリークが加えるのは、内部からの視点です。単独の攻撃者がすべてを行うのではなく、文書は一度に1人の被害者を狙った協調的な取り組みを示しています。vpn.socialの以前の報道では、[Luna Mothのファイルが法律事務所恐喝の手法を暴露した事例](/en/luna-moth-files-leak-exposes-law-firm-extortion-playbook)や、[別のリークで浮上した支払いの申し立て](/en/luna-moth-extortion-group-leak-exposes-alleged-payments)を取り上げました。これらのリークを合わせると、機会主義者の緩やかな集まりではなく、組織化されたビジネスであることが示唆されます。 ここでは注意が必要です。元記事は短い要約であり、リーク文書自体はすべてが独立に検証されたわけではない主張です。しかし、それらが描写するパターンは、公開勧告がすでに警告してきた内容と一致しています。 ## 電話担当者と技術的侵入者がどのように作業を分担するか 報告された構造から得られる実践的な教訓は、攻撃がリレー形式であるということです。1つのグループが人間的な側面を担当します。信憑性のある口実を構築し、標的を関与させ、特定の行動を取るよう説得します。別のグループが技術的な側面を担当します。その会話から得られたアクセスを利用してシステム内を移動し、データを取得します。 この分担が重要なのは2つの理由からです。 第一に、電話に出る人物は技術的に高度である必要がありません。彼らの仕事は説得です。標的が認証情報を渡すか、プロンプトを承認するか、ドアを開けるだけでよく、技術担当者がそこから引き継ぎます。 第二に、技術担当者はソフトウェアの欠陥を見つける必要がありません。正規のログインや信頼されたリモートセッションが渡されれば、彼らの作業の多くは通常の活動に見えます。これが、この種の攻撃を境界防御ツールだけで捉えるのが難しい理由です。 その影響は法律業界で顕在化しています。以前に取り上げた報道では、[Jones DayとMayer Brownが機密ファイルの盗難を確認した](/en/luna-moth-leaks-data-from-jones-day-mayer-brown)こと、そして少なくとも1件では恐喝要求が支払われないままオンラインで公開されたことが述べられていました。[法律事務所への攻撃増加とビッシング詐欺の拡大](/en/law-firm-ransomware-attacks-rise-as-vishing-scams-grow)に関する関連レポートも同じテーマを示しています。侵入経路はしばしばマルウェアではなく、人であるということです。 ## 行動する前にフィッシングやビッシングの口実を見抜く 最初の段階が会話であるため、最良の初期防御はツールではなく習慣です。ITサポートを装う口実には、いくつかの共通した特徴があります。 - **緊急性。** 電話やメールは、何かが壊れている、期限が切れている、侵害されているので、今すぐ行動が必要だと言います。 - **一方的な連絡。** あなたはチケットを開いていないのに、誰かがその対応をしていると主張します。 - **アクセスの要求。** コードを読み上げる、ログインプロンプトを承認する、ソフトウェアをインストールする、リモートセッションを開始するよう求められます。 - **送信者が提供する折り返し番号。** コールバックフィッシングは、攻撃者が管理する番号にあなたが電話をかけることに依存しています。 対応は単純ですが、その瞬間には気まずいかもしれません。電話を切るか、返信をやめてください。その後、社内ディレクトリや公式企業サイトなど、本物であるとすでに分かっている番号やチャネルを使ってITチームまたはプロバイダーに連絡してください。メッセージ自体の連絡先情報は使わないでください。正当なサポート担当者は検証されても気にしません。 小規模組織は事前にルールを合意しておくべきです。受信通話を理由に、誰もログインの承認やリモートアクセスソフトウェアのインストールを求められることはない、というルールです。書面化されたルールは、個々の従業員からプレッシャーを取り除きます。 ## 認証情報が盗まれた後の被害を限定する 最終的には誰かが騙されるものと想定してください。そのときの目標は、盗まれた認証情報をあまり有用でなくすることです。 **フィッシング耐性のあるMFAを使用する。** テキストメッセージやアプリのプロンプトで送られるコードは、電話で被害者から聞き出される可能性があります。ハードウェアセキュリティキーとパスキーは本物のサイトでのみ機能するように設計されており、電話担当者が最もよく要求するものを排除します。 **1つのアカウントが到達できる範囲を制限する。** 1つのログインで全てのファイル共有を開けるなら、1本の電話で全てが露出する可能性があります。役割ごとにアクセスを分離し、古い権限を削除してください。 **異常なリモートツールや大量転送に注意する。** 新しいリモートアクセスソフトウェアや通常時間外の大量データ移動は、レビューを引き起こすべきです。 **対応計画を用意する。** 誰に連絡するか、アカウントを迅速に無効化する方法、証拠を保全する方法を知っておいてください。恐喝グループは混乱と遅延に依存しています。 ## これがあなたにとって意味すること この種の攻撃の標的になるために法律事務所である必要はありません。同じ口実は、盗む価値のあるアクセス権を持つあらゆる従業員や個人に対して機能します。リークは、最も弱い点がしばしば、ある声を信頼するかどうかを誰かが決める瞬間であることを強く示しています。機密の顧客データやクライアントデータを扱っているなら、リークで描写された構造が優先事項を形作るべきです。まず検証し、より強力な認証でアカウントを保護し、1つのアカウントが到達できる範囲を減らしてください。 ## 実行可能な要点 - 「ITサポート」からの予期しない電話は、既知のチャネルで確認するまで未検証として扱う。 - 受信通話者の要求でコードを読み上げたり、プロンプトを承認したり、リモートツールをインストールしたりしない。 - 重要なアカウントをセキュリティキーやパスキーなどのフィッシング耐性のあるMFAに移行する。 - 1つの盗まれたログインで全てが露出しないよう、アカウント権限を削減する。 - 必要になる前に、検証ルールとインシデント連絡先リストを書き留めておく。 Luna Mothのソーシャルエンジニアリング手法が機能するのは、説得力のある人間の声と忍耐強い技術的フォローアップを組み合わせているからです。今週、偽のITサポート電話への自社の露出を見直し、可能な場合はフィッシング耐性のあるMFAに切り替え、Luna Mothのリークとビッシング主導の恐喝に関する関連報道を読んで、これらの攻撃が実際にどのように展開するかを確認してください。