CISA、FBIとそのパートナーによる共同勧告によると、SafePayランサムウェアは600以上の被害者を出しており、その侵入経路はしばしば痛いほどありふれたものです。警告によれば、このグループはSafePayランサムウェアを用いて盗まれたVPN認証情報で単純にログインし、さらにVeeamとSonicWall機器における2024年の2つの脆弱性を悪用しています。要点はシンプルです。VPNゲートウェイの安全性は、そのログイン情報とファームウェアの安全性に依存するということです。 ## SafePay勧告の内容 CISA、FBIおよびパートナー機関が発行した勧告は、SafePayランサムウェアが600以上の被害者を侵害したと報告しています。際立つ初期アクセス経路は2つあります。攻撃者が他所で入手した有効なVPN認証情報と、VeeamおよびSonicWall製品に影響する2024年の2つの脆弱性です。 原文は簡潔であるため、具体的なCVE識別子や影響を受けた業種の完全なリストなど、一部の詳細はここでは扱われていません。管理者は技術的指標と緩和策のリストについて、元の勧告を直接読むべきです。要約が明確に示しているのは、そのパターンです。攻撃者は特異な手法に頼っていません。彼らは漏洩したか、パッチが当てられていないアクセスを利用しているのです。 ## 盗まれたVPNログイン情報とエッジの脆弱性が扉を開く仕組み VPNはプライベートネットワークへの制御された入口となることを目的としています。攻撃者が有効なユーザー名とパスワードを保持していれば、その入口は従業員に対するのと同じように攻撃者に対しても開かれます。VPNにとって、盗まれたログイン情報は正規のセッションに見えるため、追加のチェックなしではこの経路を発見するのが難しいのです。 盗まれた認証情報は、以前の侵害、フィッシング、またはサービス間でのパスワード使い回しに由来する傾向があります。従業員が仕事用VPNと、後に漏洩する個人アカウントで同じパスワードを使用している場合、攻撃者は技術的な悪用を一切必要としません。 2つ目の経路は未パッチのエッジデバイスです。ファイアウォール、VPNアプライアンス、バックアップソフトウェアはネットワークの境界または中心に位置するため、これらの脆弱性は攻撃者に強力な足がかりを与える可能性があります。勧告は2024年の2つの脆弱性を指摘しており、1つはVeeam、もう1つはSonicWall機器にあります。2024年の脆弱性が今なお使用されているという事実は重要です。修正プログラムは存在するものの、常に適用されているわけではないことを示唆しています。 これらの経路を合わせると、なぜ境界ツールが他の重要システムと同じ注意を必要とするのかがわかります。VPNはアクセスが保護されている場合にのみ通信を保護でき、アプライアンス自体を最新の状態に保つ必要があります。 ## VPNアクセスとエッジデバイスを強化するための手順 以下のいずれも特異なものではなく、そのほとんどが勧告で示された弱点と一致しています。 - **すべてのVPNログインに多要素認証を必須とする。** 盗まれたパスワードだけでは侵入するのに十分であるべきではありません。 - **SonicWallおよびVeeam製品に速やかにパッチを適用する。** 2024年の修正プログラムが単に予定されているだけでなく、実際にインストールされていることを確認してください。 - **認証情報の使い回しに注意する。** 従業員の認証情報を既知の漏洩データと照合し、露出が見つかった場合はリセットを強制してください。 - **異常な活動がないかVPNログを確認する。** 奇妙な時間帯のログイン、予期しない場所からのログイン、通常はアイドル状態のアカウントからのログインは、より注意深く調べる価値があります。 - **古いアカウントを削除する。** 元従業員や未使用の請負業者のログイン情報は容易な標的です。 - **バックアップを保護する。** Veeamはバックアップソフトウェアであるため、そこでの侵害は復旧を損なう可能性があります。コピーを隔離して保持し、復元をテストしてください。 ## 600人という被害者数が組織とユーザーにとって意味すること 組織にとって、600以上の被害者という数字は、ランサムウェアグループが機能する手法を繰り返すことで規模を拡大するという戒めです。単一の弱いログインや古い未パッチのアプライアンスで十分であるなら、基本的な衛生管理は利用可能な最も効果的な防御の一つであり、最も安価なものの一つでもあります。 仕事用VPNに接続する人や消費者向けVPNサービスを利用する人を含む個人ユーザーにとって、教訓は認証情報に関するものです。すべてのアカウントに固有のパスワードを使用し、提供されている場合はどこでも多要素認証を有効にし、利用中のサービスが侵害を報告した場合は速やかにパスワードを変更してください。従業員のログイン情報こそが攻撃者の狙いであるため、従業員は防御の一部なのです。 ネットワークが侵害された後に何が起こるかを覚えておくことも役立ちます。ランサムウェアの運営者はしばしば恐喝要求とデータ暴露の脅迫を通じて圧力をかけます。[ATB恐喝の記事](/en/atb-hit-by-datasuckers-400k-demand-7-9m-affected)では、DataSuckersと名乗るグループが40万ドルを要求し、790万人が影響を受けたとされる事例が報じられており、攻撃者がアクセスを獲得した後にその圧力がどのように展開するかを示しています。 ## これがあなたにとって意味すること ITシステムを管理している場合は、VPNゲートウェイとバックアップソフトウェアを優先度の高い資産として扱ってください。誰がログインできるかを監査し、多要素認証が適用されていることを確認し、SonicWallとVeeamのアップデートが適用されていることを検証してください。一般ユーザーである場合は、自身のアカウントを保護してください。固有のパスワード、MFA、そして侵害通知後の迅速な対応です。 ## 主な要点 SafePayランサムウェアの盗まれたVPN認証情報に関する警告は、基本を修正するよう促すものです。すべてのVPNログインにMFAを適用し、SonicWallとVeeamデバイスに遅滞なくパッチを適用し、使い回された認証情報や漏洩した認証情報を監視してください。単純にログインできる攻撃者は侵入する必要がないため、彼らにとってログインをはるかに難しくしてください。

WhiteArmorによるWagyu.xyzのデータ恐喝：500万ドル要求の解説

QilinランサムウェアESXi二重恐喝：新たな脅威プロファイル

2026年9月のランサムウェア被害者857件、82グループに及ぶ

ScarlettGroupと名乗る新たに確認された集団が、脅威インテリジェンス研究者の注目を集めている。ScarlettGroupデータ恐喝グループはダークウェブ上でリークサイトを運営しており、VinSolutionsやYale University Pressを含む組織に対する侵害主張と関連付けられている。ほとんどの人にとって重要な点は、グループ自体ではない。ある企業から盗まれたデータが、そのデータを保持する者の名前すら聞いたことのない顧客にどのような影響を与えうるか、ということである。 ## ScarlettGroupとは何か、何を主張しているか Foresietの脅威インテリジェンス報告によると、ScarlettGroupは新興のデータ恐喝グループである。その足跡にはダークウェブ上のリークサイトと地下フォーラムでの活動が含まれており、こうしたグループが入手したと主張するものを宣伝する場所となっている。 2つの掲載が際立っている。1つでは、ScarlettGroupの名前を使用する脅威アクターが、自動車ソフトウェアプロバイダーVinSolutionsから顧客関係管理（CRM）データを窃取したと主張した。投稿内容については、[SCARLETTGROUP VinSolutions CRM侵害主張](/en/scarlettgroup-claims-vinsolutions-crm-breach-what-to-know)に関する以前の報道で扱っている。もう1つでは、グループはBreachForumsにYale University Pressの侵害として提示するものを投稿しており、詳細は[Yale University Pressデータ侵害主張](/en/scarlettgroup-posts-yale-university-press-data-breach-claim)の記事で解説している。 ここで重要な注意点がある。これらはグループによる主張であり、確認された調査結果ではない。恐喝アクターには誇張する動機があり、リークサイトへの掲載は窃取の規模や内容を証明するものではない。確定した事実ではなく、注視する価値のあるシグナルとして扱うべきである。 ## リークサイト恐喝の仕組み データ恐喝は、ある点で従来のランサムウェアとは異なる。ランサムウェアはシステムをロックし、復号キーと引き換えに支払いを要求する。データ恐喝グループは盗まれた情報自体に焦点を当て、被害者が支払わない限り公開すると脅迫する。 リークサイトは圧力をかける道具である。通常のパターンは次のとおりである。 1. **アクセスと窃取。** 攻撃者がシステムに侵入し、データをコピーする。 2. **掲載。** 被害者の名前がグループのリークサイトに表示され、多くの場合証拠としてサンプルが添えられる。 3. **圧力。** グループは期限を設定する。ScarlettGroupに関する公開報告では、企業データの公開を脅迫するためにダークウェブ上のカウントダウンタイマーが使用されていると述べられている。 4. **公開または販売。** 標的が支払わない場合、データは公開されたり、地下フォーラムで販売されたりする可能性がある。 圧力が公表によるものであるため、掲載自体が主張の検証前であっても組織の評判を傷つけうる。一方、データ内に記録が含まれている可能性のある人々は、交渉の席に着くことができない。 ## これがあなたにとって何を意味するか リークサイトに名前が掲載された企業の顧客である場合、あなたはこの紛争の第三者である。あなたは何も悪いことをしていないのに、あなたの情報が leverage（交渉材料）となりうる。 リスクは何が盗まれたかによる。例えばCRMデータは通常、連絡先の詳細と顧客とのやり取りの記録を保持している。出版社や機関のデータには、氏名、メールアドレス、アカウントの詳細が含まれる場合がある。ScarlettGroupが正確に何を保有しているかは断言できず、グループの主張は独立して検証されていない。しかし、この種の露出による現実的な消費者リスクはよく知られている。 - **標的型フィッシング。** 詐欺師は実際の取引関係に言及して、メッセージを正当に見せかけることができる。 - **認証情報の再利用攻撃。** パスワードが露出し、それを再利用している場合、他のアカウントが脆弱になる。 - **なりすましと詐欺。** 個人情報は、誰かが銀行、通信事業者、サポートデスクに対してあなたになりすますのに役立つ可能性がある。 これは慌てる理由ではない。早期に行動する理由である。アカウントを強化するコストは、詐欺後の後始末に比べて小さいからだ。 ## 露出を減らすための手順 利用している企業が侵害されるかどうかは制御できない。盗まれたデータがどれだけの損害を与えうるかは制御できる。 - **影響を受けているか確認する。** 取引のある企業からの通知を探し、評判の良い侵害通知サービスでメールアドレスを確認する。 - **固有のパスワードを使用する。** パスワードマネージャーを使えば実践できる。1つのサイトでパスワードが漏れても、他のサイトは保護されたままである。 - **多要素認証を有効にする。** 可能であればSMSよりも認証アプリやハードウェアキーを優先する。 - **予期しないメッセージには懐疑的になる。** メールやテキストが、予期していない車両購入、ディーラー、書籍の注文に言及している場合は、クリックせずに企業の公式サイトに直接アクセスする。 - **金融アカウントを監視する。** 明細を確認し、機密性の高い識別情報が露出した可能性がある場合は信用情報の凍結を検討する。 - **ソフトウェアを最新の状態に保つ。** これにより、攻撃者が得たアクセスでできることが制限される。 VPNは信頼できないネットワーク上での通信を保護できるが、企業のサーバーに既に保存されているデータには何の効果もない。ここではアカウントの衛生管理がより関連性の高い防御である。 ## 結論 ScarlettGroupデータ恐喝グループはまだ新興であり、その手法や範囲の多くは未確認である。明確なのはそのモデルである。データを窃取し、被害者を公に掲載し、公開の脅威を leverage（交渉材料）として利用する。これにより一般の顧客が危険にさらされる。 まず、名前が掲載された組織と取引があるかどうかを確認し、次にパスワードを強化して多要素認証を有効にする。個別の掲載の詳細については、[VinSolutions侵害主張](/en/scarlettgroup-claims-vinsolutions-crm-breach-what-to-know)と[Yale University Press侵害主張](/en/scarlettgroup-posts-yale-university-press-data-breach-claim)の報道を読み、関係企業からの公式通知に注意を払ってほしい。