南アフリカで最も知名度の高い組織のいくつかが、単一のランサムウェアグループによって侵害されました。その中にはアフリカ民族会議（ANC）、アングロ・アメリカン、メディクリニック、南アフリカ航空（SAA）、Pick n Payが含まれています。これらのインシデントに共通しているのは「二重脅迫型ランサムウェア」で、南アフリカ国内外の大規模組織を狙うサイバー犯罪者の間で標準的な手口となっています。

この一連の侵害が注目に値するのは、被害者の規模や知名度だけではありません。ひとつの脅威アクターが、政党、鉱業大手、民間医療機関、国営航空会社、大手小売業者という全く異なるセクターに繰り返し侵入できたことです。この対象範囲の広さは、今日のランサムウェアグループがどのように活動しているか、そしてなぜ南アフリカで二重脅迫型ランサムウェアが、顧客データや患者データ、市民データを保有する組織にとってこれほど根深い問題となっているのかを物語っています。

何が起きたのか：ANC、SAA、Pick n Pay侵害の背後にいるランサムウェアグループ

報道によると、ANC、アングロ・アメリカン、メディクリニック、SAA、Pick n Payへの侵入に、同一のランサムウェア脅威が関連付けられています。このグループは特定の業界や組織タイプを狙うのではなく、政府関連団体、大企業、医療機関、消費者向け小売業者へと幅広く網を投げかけています。その広がりから、特定のセクターや動機に固執するのではなく、侵害可能なネットワークを日和見的に狙っていることがうかがえます。

これらの組織は、それぞれ異なるものの、同様に機微なカテゴリーのデータを保有しています。ANCは政治情報や党員情報、アングロ・アメリカンはグローバルな鉱山企業として企業情報や業務データ、メディクリニックは患者の健康記録、SAAは旅客・渡航データ、Pick n Payは顧客ロイヤルティと取引データを保有しています。これらすべての異なる環境に単一のグループが手を伸ばせたという事実は、今日のランサムウェア運営者が、ただ一つの種類の「獲物」を狙っているのではなく、見つけられる場所ならどこでも「交渉材料」を求めていることを浮き彫りにしています。

二重脅迫型ランサムウェアは従来型攻撃と何が違うのか

従来のランサムウェアは比較的単純でした。攻撃者が被害者のファイルを暗号化し、復号キーと引き換えに身代金を要求するというものです。時が経つにつれ、組織はオフラインバックアップを保持することで、身代金を支払うことなくシステムを復元できるようになり、この手口への防御を強化していきました。

ランサムウェアグループは適応しました。二重脅迫型ランサムウェアは、さらに圧力を加える第二の層を追加します。被害者のシステムを暗号化する前に、まず攻撃者はネットワークから機微なデータを静かにコピー、すなわち「窃取」します。暗号化が発動され、身代金要求が届いたとき、被害者は二つの別個の脅威に直面します。システムをオンラインに戻すための支払いと、窃取されたデータが公開・売買されるのを止めるための支払い（しばしば追加で）です。

このアプローチは、多くの組織が頼りにしているバックアップ防御を無効化します。たとえ企業が身代金を支払わずにバックアップからシステムを復元できたとしても、財務記録、健康情報、顧客データベースなど、自社のデータが犯罪者の手中にあり、それを暴露すると脅されているという事実に対処しなければなりません。これこそが、二重脅迫がランサムウェアの主要戦略となった理由です。最初の脅迫が失敗した場合でも、攻撃者に第二の交渉材料を与えるからです。

これらの組織の顧客にとってなぜ重要なのか

あなたがANCの党員、メディクリニックの患者、SAAのマイレージ会員、Pick n Payのスマートショッパー会員、あるいは何らかの形でアングロ・アメリカンと繋がりがある場合、この種の侵害は単に抽象的な企業の問題ではありません。それはあなたの個人情報への直接的なリスクです。二重脅迫型攻撃は、組織の枠を超えて価値のある種類のデータ、つまり氏名、連絡先、ID番号、財務情報、健康記録、ロイヤルティプログラムのデータを特に狙います。

そのデータがランサムウェアグループの手に渡った場合、必ずしも封じ込められたままとは限りません。このような侵害による盗難記録は、しばしば犯罪フォーラムで公開、販売、流通され、時には最初のインシデントがニュースから消えた後もずっと続きます。露出の規模は膨大になりえます。ひとたび盗まれたIDデータが流通し始めると、単一の大規模侵入がどれほど広範囲に影響を及ぼすかは、1億9500万人の身元情報が露出したメキシコのデータ侵害が示しています。

諜報活動やインフラ破壊に重点を置くことの多い国家関連のサイバーキャンペーンとは異なり、シンガポールで報告された国家支援攻撃に見られるように、二重脅迫型ランサムウェアグループは金銭を動機としています。つまり、あなたから盗んだデータは商品として扱われ、身代金支払い、転売、被害組織への圧力を意図した公開リークを通じて収益化されるものなのです。

サードパーティ侵害後のデータを守るための実践的ステップ

取引先の組織が侵害されるかどうかはコントロールできませんが、侵害後の対応と露出の度合いはコントロールできます。

  • ANC、アングロ・アメリカン、メディクリニック、SAA、Pick n Payからの侵害通知に自分の情報が含まれていないか確認し、提供される具体的な指示に従ってください。
  • これらの組織に関連付けられたアカウントのパスワードを変更してください。特に、そのパスワードを他で使い回していた場合は必須です。
  • 特に金融、医療、ロイヤルティアカウントでは、可能な限り二要素認証を有効にしてください。
  • これらの侵害で最も価値のある資産が金融情報やIDデータであることが多いため、銀行やクレジットカードの明細に見慣れない取引がないか監視してください。
  • 盗まれた個人情報は、実際のアカウント情報を参照する巧妙な詐欺メールやメッセージを作成するために頻繁に利用されるため、後続のフィッシング試行に警戒してください。

南アフリカにおける二重脅迫型ランサムウェアの全体像

単一のランサムウェアグループが政党、鉱業コングロマリット、医療ネットワーク、航空会社、小売業者にまで手を伸ばせたという事実は、南アフリカにおける二重脅迫型ランサムウェアが、特定業界だけのニッチな問題ではなく、セクターを超えた共有リスクとなっていることを如実に示しています。組織にはネットワークのセキュリティ確保責任がありますが、ひとたび侵害が起きた場合の被害を抑えるうえで、個人にも果たせる役割があります。

自分が利用しているどの組織が影響を受けたかについて常に情報を得ること、速やかに資格情報を更新すること、悪用の兆候に目を光らせることは、実践的で達成可能なステップです。主要機関を巻き込むデータ侵害は今後も起こり続けますが、それにどれだけ迅速に対応するかが、小さな不便と深刻な個人情報詐取の問題との差を分けることもあるのです。