脅威インテリジェンス企業KELAがサイレント・ランサム・グループ（SRG）の内部会話を分析した。このサイレント・ランサム・グループの流出チャットは、現代の恐喝グループがどのように考え、活動しているかを垣間見せる貴重な機会となっている。その詳細は大企業にとって重要であるだけでなく、アカウントやデータが交渉材料にされうる中小組織や個人にとっても重要だ。

本記事はKELAの分析で公開されている内容に限定している。公開された要約は簡潔であるため、情報源に記載のない詳細については、推測せずにその旨を明記する。

サイレント・ランサム・グループとは

SRGは恐喝グループである。KELAの記事によれば、同種のグループが存続し続けるのは、そのモデルが機能しており根絶が困難だからであり、その持続性こそが彼らを危険にしている一因だという。分析ではまた、米国の組織が他よりも標的にされやすいのかという問いも提起されており、被害者の地理的分布が流出会話から答えを得られる疑問の一つであることを示している。

重要なのはそのビジネスモデルだ。暗号化によるファイルの施錠だけに頼るのではなく、このカテゴリのグループはアクセスを獲得し、データを窃取し、そして圧力をかけることに重点を置く。この手法は技術的な障壁を下げ、戦いの場をシステムから人と評判へと移す。

流出チャットが明かす彼らの活動方法

流出した内部チャットに基づくKELAの分析は、このグループがどのようにランサムウェアと恐喝の活動を構築しているかを概説している。一般読者に最も関係が深い観点は、電話ベースのITなりすましへの依存だ。この攻撃スタイルでは、誰かがヘルプデスクの担当者を装って従業員に電話をかけ、アクセスを渡したり、承認すべきでないものを承認させたりするよう誘導する。

この戦術については、ITなりすましヘルプデスク詐欺に関する記事でより詳しく取り上げており、この手口が舞台裏でどのように組織されているかを解説している。運用の詳細を知りたい方には一読を勧める。

より広範なパターンは、暗号化されたファイルではなく窃取されたデータが圧力の焦点になるということだ。被害者はバックアップからシステムを復旧できても、情報漏洩の脅威に依然として直面する。これは、ランサムウェアが暗号化を省略する一方で身代金が支払われ続けているという状況についての我々の報道で説明したのと同じ変化である。

窃取された認証情報とデータが個人のプライバシーにとって重要な理由

このような記事は企業の問題として読まれがちだ。しかしSRGのような集団が窃取するデータは、しばしば一般の人々のものである。顧客、患者、従業員、クライアントだ。従業員への一度の電話が成功するだけで、氏名、連絡先、アカウント情報を含む記録が暴露されうる。

個人にとって、リスクはいくつかの形で現れる。

  • あなたが何も悪いことをしていなくても、あなたの情報が標的にされた組織に保持されている可能性がある。
  • 複数のサービスで使い回された認証情報は、一つの漏洩を複数の漏洩に変えうる。
  • あなたの詳細が犯罪者の手に渡れば、恐喝メッセージが直接あなたに向けられることもある。

VPNはこのいずれも防げない。通信を暗号化しIPアドレスを隠すが、誰かがヘルプデスク従業員を説得してアクセスを渡させることを防ぐことも、第三者があなたに関する保有データを漏洩させることを止めることもできない。ここで重要な防御策は習慣とアカウントの衛生管理である。

露出を減らすための実践的なステップ

すべての組織があなたのデータをどう保護するかを制御することはできないが、被害を限定し、自分自身と職場をより狙いにくい標的にすることはできる。

発信者を信じる前に確認する。 相手がITサポートだと名乗ったら、電話を切り、すでに知っている番号でヘルプデスクに連絡する。正当なサポートは気にしないはずだ。特に、ソフトウェアのインストール、ログインプロンプトの承認、コードの読み上げなどの要求には警戒すること。

多要素認証を強化する。 提供されているすべての場所でMFAを有効にし、可能であればテキストメッセージよりもアプリベースまたはハードウェア方式を優先する。自分でトリガーしていないプロンプトは決して承認しないこと。

固有のパスワードを使う。 パスワードマネージャーを使えばこれが現実的になる。一つのアカウントが漏洩しても、固有のパスワードであれば問題を封じ込められる。

テスト済みのオフラインバックアップを維持する。 バックアップはファイルが暗号化された場合に役立つが、データ窃取には無力であることを忘れないこと。バックアップは一つの層として扱い、計画の全体とはしないこと。

共有する情報を限定する。 組織があなたについて保持する個人データが少なければ少ないほど、漏洩するものも少なくなる。任意の詳細情報を渡す前に慎重に考えること。

中小組織向け： コールバックルールや共有コードワードなど、ヘルプデスクの確認手順を文書化し、すべての従業員がそれを知っているようにする。緊急性が一般的な操作術であることをスタッフに研修する。

これがあなたにとって意味すること

サイレント・ランサム・グループの流出チャットは、多くの攻撃がマルウェアではなく会話から始まることを思い出させる。小さなオフィスを運営していても、多くの企業とアカウントを持っているだけでも、最も有用な防御策はローテクである。身元を確認し、強力なMFAでログインを保護し、他者が保持するデータは最終的に露出する可能性があると想定することだ。

主な要点

  • バックアップの手順を見直し、バックアップは窃取されたデータに対しては保護にならないことを忘れないこと。
  • MFAの設定を監査し、可能な限り弱い方式を置き換えること。
  • 家庭でも職場でも、ヘルプデスクの確認習慣を設定または見直すこと。
  • より深い文脈については、ITなりすましヘルプデスク詐欺と、データ窃取のみの恐喝への移行に関する我々の報道を読んでほしい。

今これらのチェックに費やす数分は、後で恐喝メッセージに対処するよりもはるかに安上がりである。