ランサムウェアのリークサイトに新たな名前が登場

M3RXと名乗る比較的新しいランサムウェアグループが、マラガに拠点を置くソフトウェア開発企業Tecnologías de Código Abierto S.L.（商業名Tecnoabi）をダークウェブのリークサイトに掲載しました。同グループは、この企業から300GBの企業データを窃取したと主張していますが、ランサムウェアによる恐喝投稿の多くと同様、これらの主張は執筆時点でTecnoabiや第三者による独立した検証を受けていません。

Tecnoabiは、2008年に設立されスペインで登記されているB2Bソフトウェア開発企業です。このような企業は通常、他の企業向けにカスタムアプリケーション、統合、またはバックエンドシステムを構築しており、そのため同社が保有するデータには、自社の企業記録だけでなく、顧客に関連するコード、認証情報、または構成設定が含まれる可能性があります。この違いは、このような侵害の潜在的な下流への影響を評価する際に非常に重要です。

ソフトウェアベンダーの侵害が異なる理由

ランサムウェア集団が小売店や病院ではなくB2Bソフトウェア開発企業を標的にした場合、その波及効果は企業自体をはるかに超えて及ぶ可能性があります。ソフトウェアベンダーは、顧客向けに構築したシステムのソースコード、APIキー、デプロイメント認証情報、内部ドキュメントを保持していることがよくあります。窃取されたとされる300GBのデータのいずれかにこの種の資料が含まれていた場合、その露出は理論上、Tecnoabi自体だけでなく、同社の顧客のネットワークへの扉を開く可能性があります。

このようなサプライチェーン型の標的化パターンは、ランサムウェア報道における繰り返しのテーマとなっています。攻撃者は、単一のベンダーを侵害することで、一度に数十の下流組織への足がかりを得られる可能性があることをますます認識しています。これは、ヨーロッパですでに見られる広範な傾向を反映しており、フランスでは2年間で1億4500万件のデータ露出が記録され、大陸内の組織に対するランサムウェア活動が急増しています。スペインも隣国と同様にこの傾向から免れておらず、小規模ながら戦略的に位置づけられたソフトウェアベンダーが関与するインシデントがこの地域でより一般的になりつつあります。

M3RXのようなグループはどのように侵入するのか

ランサムウェア運営者は、もはやファイアウォールを力技で突破する必要はほとんどありません。多くはソーシャルエンジニアリング、過重労働のITヘルプデスクの悪用、または信頼されたコラボレーションツールの悪用を通じて初期アクセスを獲得します。最近の例では、攻撃者がMicrosoft Teams上で偽のITサポートスタッフを装い、ランサムウェアの猛攻を助長し、複数の組織に影響を与えた事例があり、十分に防御されたネットワークに対してさえ、低技術の欺瞞がいかに効果的であるかを示しています。M3RXがTecnoabiに対して同様の戦術を使用したかどうかは明らかにされていませんが、ソフトウェアの欠陥ではなく人間の信頼を悪用する攻撃者の広範なパターンが、ランサムウェアの状況を支配し続けています。

恐喝型ランサムウェアグループは、新興で知名度の低い活動主体を含め、よく知られたシナリオに従う傾向があります。ネットワークに侵入し、数日から数週間かけて静かにデータを窃取し、暗号化を展開して業務を混乱させ、その後、被害者をリークサイトに掲載して支払いを圧力します。この二重恐喝モデルは繰り返し使用されており、ShinyHuntersによるBaker Distributingへの主張など最近の他の事例でも見られ、窃取された記録が同様の公開辱め戦略のてことして使用されました。

これはあなたにとって何を意味するか

Tecnoabiに接続している顧客、パートナー、または従業員である場合、または任意のB2Bソフトウェアベンダーに関係している場合、このインシデントは、あなたのデータセキュリティが、直接やりとりすることのないベンダーに部分的に依存していることを思い出させるものです。依存しているソフトウェアパートナーに、インシデント対応計画、データ分離慣行、および侵害通知のタイムラインについて尋ねる価値があります。

一般の人々にとって、Tecnoabiの掲載は、より大きなパターンの中の小さなデータポイントです。ランサムウェアグループは病院や小売店だけでなく、無数の他の企業を稼働させ続けているソフトウェア開発企業という、より静かなインフラストラクチャ層も標的にしています。この変化は、プライバシーリスクが少数の注目度の高い標的に集中するのではなく、サプライチェーン全体にますます分散していることを意味します。

実践的な takeaways

  • Tecnoabiと取引がある場合、または同社が開発したソフトウェアを使用している場合は、公式の連絡を注意深く監視し、あなたのデータや認証情報が影響を受けた可能性があるかどうかを直接尋ねてください。
  • 第三者ソフトウェアベンダーと共有したAPIキー、パスワード、またはアクセストークンは、侵害が発表された後だけでなく、定期的にローテーションしてください。
  • 一方的なITサポート要求は、信頼されたプラットフォーム上であっても、懐疑的に扱い、アクセスを許可する前に別のチャネルを通じて検証してください。
  • あなたの組織が小規模なソフトウェアベンダーと緊密に連携している場合は、侵害監視サービスやダークウェブのリークサイトトラッカーに注目してください。

M3RXのようなランサムウェアグループは、価値あるデータと脆弱なセキュリティ予算の交差点に位置しているからこそ、中規模のソフトウェア開発企業を標的にし続ける可能性が高いでしょう。Tecnoabiの掲載のようなインシデントについて情報を得続け、ベンダーに透明性を求めることは、組織と個人が露出を制限するために取れる最も実践的な手段の一つです。