Medusaランサムウェア、身代金要求を収益に連動させる

Medusaランサムウェアはあなたの財務諸表を読んでいる

ランサムウェア集団は長年にわたり、暗号化を用いて組織を自社システムから締め出す手法に依存してきたが、Medusaランサムウェアは明確に計算された新たな手法を加えている。最近のCISAサイバーセキュリティ勧告の分析によると、Medusaの開発者とアフィリエイトは、身代金要求額を組織が公開している収益に合わせて調整するという。言い換えれば、身代金要求の通知が現れる前に、攻撃者はすでに年次報告書、投資家向け提出書類、その他の公開財務情報を確認し、被害者が妥当に支払える金額を判断している可能性が高いということだ。

これは些細な運用上の詳細ではない。これは、Medusaのようなランサムウェア・アズ・ア・サービス（RaaS）事業が、ベンダーが契約価格を設定するのと同じように、買い手の支払い能力に基づいて恐喝の価格を設定するビジネスへと進化したことを反映している。組織にとってこれは、潜在的な身代金要求の規模がもはや謎ではないことを意味する。それは、すでに公開領域にある財務情報の量の関数なのだ。

二重恐喝の手口

Medusaは、CISAの勧告が説明する二重恐喝モデルで活動している。単にファイルを暗号化して復号キーと引き換えに支払いを要求するのではなく、Medusaの開発者とアフィリエイトは暗号化の開始前に機密データも外部に持ち出す。被害者が支払いを拒否した場合、グループは盗んだデータを公開にさらすと脅し、運用の中断に加えて、評判と規制上の圧力を追加する。

この二方向からのアプローチは、安易な逃げ道を封じるように設計されている。堅牢なバックアップを持つ組織は、支払いなしで暗号化されたシステムを復元できるかもしれないが、それは別の脅威、すなわち持ち出された顧客記録、財務データ、または内部通信の公開漏洩からは保護されない。Medusaのモデルは、被害者に事業継続とデータ露出リスクの両方を同時に比較検討することを強いる。これはまさに、このグループが、連邦機関がこの活動を引き続き追跡・対応していることを詳細に示した、より広範なCISA・FBI・HHSによるMedusaランサムウェア勧告の最新情報によれば、同グループが永続的な脅威であり続けている理由である。

収益ベースの標的設定が計算を変える理由

身代金要求が公開された収益数値に連動すると、組織がリスクを認識せずにどれだけの運用上および財務上の情報を露出しているかにスポットライトが当たる。年次報告書や助成金の開示を公開する上場企業、政府請負業者、医療システムは、事実上、攻撃者に交渉の出発点を提供していることになる。

この力学は、セキュリティチームにとってより広い教訓を浮き彫りにしている。脅威アクターは、ネットワークに侵入しなくても、標的としてあなたをプロファイリングし始めることができる。オープンソースの財務データと、露出したリモートアクセスポイントや未パッチのシステムの偵察を組み合わせることで、アフィリエイトはどの組織を攻撃し、内部に侵入した後にどれだけ強気に交渉するかを優先順位付けするのに十分な情報を得られる。

被害を抑える防御策の構築

Medusaのモデルはシステムの暗号化とデータの持ち出しの両方に依存しているため、効果的な防御は脅威の両半分に対処する必要がある。いくつかの原則が際立っている：

ネットワークセグメンテーションは、攻撃者が初期アクセスを得た後に移動できる範囲を制限する。ランサムウェアのアフィリエイトが1つのシステムを侵害した場合、セグメンテーションはその足がかりが機密データやバックアップを保持する重要なサーバーに広がるのを防ぐことができる。

ゼロトラストアクセス制御は、フラットで信頼された内部ネットワークへの依存を減らす。内部の誰もが安全であると想定する代わりに、ゼロトラストアーキテクチャはすべてのリクエストを検証するため、攻撃者はフィッシングや悪用されたリモートアクセスツールを通じて達成されることが多い初期侵害後に、横移動するのが難しくなる。

暗号化されたオフラインバックアップは、Medusaの攻撃の暗号化部分に対する最も効果的な対策の1つであり続けている。プライマリネットワークから分離され、保存時に暗号化されたバックアップは、攻撃者が広範なアクセスを得たとしても、ランサムウェア事業者によって容易に到達または破損されることはない。

安全なリモートアクセスも同様に重要である。多くのランサムウェア侵入は、侵害されたVPN認証情報や露出したリモートデスクトップサービスから始まる。企業は多要素認証を優先し、リモートアクセス権限を定期的に監査し、攻撃者が弱点を頻繁に探る未使用のアカウントやレガシーな接続方法を廃止すべきである。

これがあなたにとって意味すること

中規模企業のITを担当している場合でも、大企業のセキュリティを監督している場合でも、Medusaの戦術は、ランサムウェア防御が単に暗号化を止めることだけではないということを思い出させる。それは、攻撃者が何を盗めるか、そして侵入した場合にどれだけ広がれるかを制限することである。詳細な財務情報を公開している組織は、その数値がすでにランサムウェアグループの標的設定の計算式の一部であると想定し、身代金要求を恣意的なものとして扱うのではなく、それに応じて防御を計画すべきである。

実践可能な takeaways

• 組織が公開している財務・運用データを監査し、それがランサムウェアの標的としてビジネスをプロファイリングするためにどのように使用される可能性があるかを理解する。
• ネットワークセグメンテーションを実装して、単一の侵害されたデバイスやアカウントが組織全体の暗号化につながらないようにする。
• 定期的にテストされ、プライマリ本番ネットワークから分離された、暗号化されたオフラインバックアップを維持する。
• VPNを含むすべてのリモートアクセスツールに多要素認証とゼロトラストの原則を適用し、ランサムウェアのアフィリエイトが最も依存する侵入口を閉じる。
• 進化する戦術と推奨される緩和策を概説した、CISA・FBI・HHSによる合同Medusaランサムウェア勧告などの連邦勧告の最新情報を常に確認する。

Medusaのようなランサムウェアグループは、セキュリティチームが防御を洗練させるのと同じくらい速くビジネスモデルを洗練させている。二重恐喝の戦術から収益ベースの標的設定まで、これらのグループがどのように活動するかについて情報を得続けることは、組織が攻撃の前に、ではなく攻撃の前に適切な防御を優先順位付けする最も簡単な方法の1つである。