まったく異なる種類のランサムウェア脅威

ほとんどの人はランサムウェア攻撃と聞くと、同じ光景を思い浮かべる。企業のファイルが突然ロックされ、画面に身代金要求のメモが現れ、IT部門がバックアップの復元に奔走する。サイレント・ランサム・グループは、ルナ・モスとしても知られており、そのようにはまったく動かない。何も暗号化する代わりに、このグループはしばしば従業員に電話をかけることで機密データを直接窃取し、身代金が支払われなければそれを漏洩すると脅迫する。マルウェアの起動も、ロックされたハードドライブも、多くの場合、明らかな技術的警報ベルもない。あるのは電話一本、詐欺、そして被害者が恐喝要求が届くまで気づかないかもしれない静かなデータ窃盗だけである。

この変化が重要なのは、防御側が何に注意を払う必要があるかを変えるからである。従来のランサムウェア防御は、暗号化を阻止することに重点を置いている。バックアップ、エンドポイント検出、ネットワーク分離などである。サイレント・ランサム・グループは、ほとんどのセキュリティプログラムにおける最も弱い環、つまり人間の信頼を標的にすることで、そのすべてを回避する。

攻撃の仕組み

このグループの手口は、ソフトウェアの脆弱性ではなくソーシャルエンジニアリングを中心としている。攻撃者はITサポート担当者を装い、しばしば電話を通じて、従業員やヘルプデスク担当者にリモートアクセスを許可させる、または認証情報を渡すよう仕向ける。一度内部に入ると、目的はネットワーク全体にランサムウェアを拡散させることではない。価値のあるファイル、すなわち顧客記録、財務データ、訴訟資料、その他公開されれば深刻な害を引き起こす可能性のあるものを静かに見つけ出して外部に持ち出すことである。

このアプローチは、大量の機密情報を保有する組織に対して特に効果的であることが証明されている。法律事務所に対するサイレント・ランサム・グループのITなりすまし戦術の報道で詳述されているように、このグループは特に法律事務所を標的にしており、そこでは合併の詳細、訴訟戦略、顧客の個人記録など、外部の者なら非公開に保つために多額の金を払うであろう情報が日常的に保管されている。法律事務所はしばしば複数の顧客の情報を同時に扱うため、一度の侵入成功で広範な機密関係の網が露出する可能性がある。

金銭的なリスクは重大になり得る。このグループが関与した記録された事例の一つでは、ジョーンズ・デイやウィルマーヘイルを含む大手法律事務所が標的となり、身代金要求額は1300万ドルに達したと、ジョーンズ・デイとウィルマーヘイルに対する1300万ドル要求のルナ・モス恐喝キャンペーンに関する報道で伝えられている。この数字は、ファイルが一つも暗号化されなくても、純粋なデータ窃取による恐喝がいかに儲かるかを浮き彫りにしている。

なぜこれが単なるセキュリティではなくプライバシーの問題なのか

暗号化ベースのランサムウェアは破壊的だが、根本的には可用性の問題である。システムは復元されるまで停止する。サイレント・ランサム・グループのモデルは、最初から機密性の問題である。データが組織の管理から離れた瞬間、身代金が支払われるかどうかに関係なく、それは露出する。被害者はシステムを取り戻すための交渉ではなく、個人情報が公開または販売されるのを防ごうとするための交渉を迫られる。

この区別は、標的となった組織のファイル内に個人データが存在する可能性のある誰にとっても重要である。侵害された法律事務所の顧客、医療提供者の患者、個人記録を保管するあらゆる企業の顧客は、その組織が従業員をどれだけうまく訓練して偽のITサポート電話を見抜けるようにしているかを直接管理することはできない。この攻撃は、暗号化を破ったりソフトウェアの欠陥を悪用したりすることで成功するのではなく、日常的に見える電話会話の最中に置き違えられた信頼の一瞬を悪用することで成功する。

これがあなたにとって意味すること

機密性の高い顧客、患者、または財務データを扱う組織で働いているなら、この傾向は、技術的防御だけではすべての脅威を阻止できないという注意喚起である。電話ベースのソーシャルエンジニアリングは、システムではなく人を標的にするため、ファイアウォールやエンドポイント保護を完全に回避する。

従業員にとって、実践的な教訓は単純である。正規のITサポートが、一方的な電話でリモートアクセスを許可させたり認証情報を共有させたりするよう求めることはほとんどない。そのような要求は、行動する前に既知の内部チャネルを通じて独立した検証を行うに値する。

組織にとって、これはヘルプデスクとサポートスタッフが、アクセスを許可したり認証情報をリセットしたりする前に、発信者の身元を確認するための明確なプロトコルを必要とすることを意味する。また、実際の目的は暗号化ではなく外部への持ち出しであるため、異常なデータアクセスパターンや大規模なファイル転送を監視する必要があることも意味する。

法律事務所、医療提供者、または金融機関に情報が保管されている可能性のある個人にとって、データ保護は自分の習慣だけの問題ではないことを覚えておく価値がある。それはあなたの記録を保有するあらゆる組織のセキュリティ文化にも依存する。

重要なポイント

サイレント・ランサム・グループのアプローチは、ランサムウェアが危険であるために暗号化を必要としないことを示している。電話ベースのなりすましとソーシャルエンジニアリングに依拠することで、このグループは、非常に機密性の高い顧客データを扱う法律事務所を含む大手組織から多額の身代金要求を引き出してきた。本人確認手順を強化し、従業員に一方的なIT電話を疑うよう訓練し、異常なデータ移動を監視することは、従来のアンチランサムウェアツールだけよりもはるかに効果的な防御である。恐喝戦術が暗号化から離れて純粋なデータ窃盗へと進化するにつれて、ソーシャルエンジニアリングへの警戒はかつてないほど重要になるかもしれない。