侵害からランサムウェアへ：アクセス売買の仕組み

新たな報告書によると、ロシア語を話すハッカーが世界中の組織に侵入し、ログイン認証情報を盗み、その盗んだアクセスをランサムウェアグループに販売するためにパッケージ化しているという。同じ攻撃者はウクライナ軍のウェブサイトも監視しており、金銭目的のサイバー犯罪と進行中の紛争に関連した情報収集活動が重なっている。

この事例は、現代のランサムウェア攻撃が実際にどのように始まるのかを明確に示している。ニュースの見出しは、最終的に企業のファイルを暗号化するマルウェアに集中しがちだが、最初の入り口は通常、まったく別の誰か――「初期アクセスブローカー」によって開かれる。彼らは一つの仕事をきわめてうまくこなす専門家だ。ネットワークに侵入し、アクセスが有効であることを確認し、それをランサムウェアの運営者に売る。取り引きはしばしば地下フォーラムで行われ、運営者は恐喝の部分を担当する。この分業によって、ランサムウェアキャンペーンはより迅速かつ大規模になり、ひとつのグループまで追跡するのが難しくなっている。

この「侵害からランサムウェアへ」のアクセス市場は、たったひとつの漏洩したパスワードが長い旅をすることを意味する。それを盗んだ人物が自らランサムウェアを展開するとはかぎらない。むしろ供給者として振る舞い、病院システムの停止、製造業の操業凍結、学区のデータ暗号化といった実際の被害は、川下にいるまったく別の買い手によって引き起こされるのだ。

何が盗まれ、売られたのか――認証情報とネットワークアクセス

報告書によると、このハッカーの活動は、世界中の組織から認証情報を収集し、そのアクセスを再販用に整えることを中心に展開されていた。侵入したシステムをすぐに悪用するのではなく、盗んだログイン情報を在庫のように扱っていたようだ。つまり、カタログ化し、有効性を確認し、攻撃の次の段階を専門とする買い手に引き渡していた。この商業活動と並行して、ハッカーがウクライナ軍のウェブサイトを継続的にチェックしていたことも確認されており、純粋な利益を超えた動機が重なっていることがうかがえる。

金銭目的の認証情報窃取と、地政学的に動機づけられた監視が並行するこのパターンは、ロシア語を話す脅威アクターの間でますます一般的になっている。それはまた、防御側が認証情報窃取のインシデントを「単なる」金融犯罪の問題だと決めつけてはいけない理由も浮き彫りにする。ランサムウェアグループに売られることになる同じ盗まれたアクセスは、スパイ行為にも同じくらい簡単に使われうるし、実際に両方に使われることもある。

VPNとリモートアクセス認証情報がブローカーにとって格好の標的となる理由

アクセスブローカーは、最小限の労力で最大の領域を開放できる認証情報に引き寄せられる。VPNログイン、リモートデスクトップアカウント、その他のリモートアクセスツールは、利用者を外界から直接内部ネットワークへ送り込むために設計されているため、そのリストの上位に位置する。有効なVPN認証情報ひとつで境界防御を完全に迂回でき、攻撃者に一見正当な足がかりを与え、従来の侵入と同じアラームを引き起こさない。

まさにこの理由から、VPNプロバイダーと彼らが保持する認証情報データそのものが、魅力的な標的となっている。リスクにさらされているのは企業のVPNゲートウェイだけではない。消費者向けVPNサービスの内部データベースも露出しており、「ログを保持しない」という約束が精査に耐えうるのかという、厄介な疑問を投げかけている。SplitVPN 侵害は良い例だ。プロバイダーに関連するとされる大規模なデータベースが犯罪フォーラムに現れ、同社のプライバシー主張を覆し、VPN自体のセキュリティ態勢が宣伝する暗号化と同じくらい重要であることをユーザーに思い出させた。

VPN、2FA、認証情報の衛生管理がラテラルムーブメントのリスクを減らす

良い知らせは、この攻撃パイプラインにおける摩擦の大部分は、いくつかの一貫した対策を取る意思のある組織や個人によって、再び加えることができるという点だ。多要素認証は、盗まれた認証情報に対する最も効果的な制御手段である。なぜなら、パスワードだけでは第二の確認ステップと組み合わせられなければ、買い手にとってほとんど役に立たなくなるからだ。認証情報を定期的に変更し、サービス間でのパスワードの使い回しを避け、漏洩通知サービスで露出したログインを監視することは、盗まれたアクセスがブローカーにとって価値を持ち続ける時間枠を縮める。

特にリモートアクセスについては、単なるマーケティング上の主張ではなく、検証・監査可能なノーログポリシーを持つVPNプロバイダーを選ぶことで、自分の認証情報が次の販売用データセットになる可能性が減る。それに加えて、すべてのリモートアクセスポイントに2FAを導入し、ネットワークをセグメント化して、ひとつの侵害されたアカウントがすべてに到達できないようにすれば、攻撃者がたとえ侵入しても、移動できる範囲を限定できる。

私たちが学ぶべきこと

企業のIT管理者にとって、この事例は、初期アクセスブローカーによる認証情報窃取が、ランサムウェアそのものではなく、しばしばランサムウェアインシデントの本当の出発点であることを思い出させるものだ。認証情報の衛生管理、多要素認証、リモートアクセス監視への投資は、単一のアンチマルウェアツールよりもはるかにこうした攻撃を阻止する。個人ユーザーにとっては、自分のVPNやリモートアクセスプロバイダーが自社データを保護してきた実績があるかどうかを確認するきっかけとなる。なぜなら、利用者の認証情報はそれを保管するサービスと同じ程度にしか安全ではないからだ。

実行可能な対策：

  • メールだけでなく、すべてのVPN、リモートデスクトップ、管理者アカウントで多要素認証を有効にする。
  • 異なるサービス、特にリモートアクセスツール間でパスワードを使い回さない。
  • ノーログ主張を信頼する前に、VPNプロバイダーのセキュリティ履歴と独立した監査を調べる。
  • 認証情報が漏洩データベースに現れていないか監視し、見つかれば直ちに変更する。
  • ひとつの盗まれた認証情報で広範なラテラルアクセスを許さないよう、ネットワークをセグメント化する。