SOCRadarの研究者たちが、犯罪者の手口を垣間見せる貴重な発見をした。INCとThe Gentlemenランサムウェア運用のアフィリエイトに関連する公開サーバーには、ClaudeやKimiとの8,257件のAIメッセージ、46件の暗号化ビルド、62件の被害者名が保存されていた。この発見は、ランサムウェアギャングが日常業務の一環としてAIアシスタントを利用している具体的な事例であり、個人や中小企業にとって有益な教訓を提供している。

元のレポートは簡潔であるため、本記事は公開されている内容に限定し、公表されていない詳細についての推測は避ける。

SOCRadarが公開サーバーで発見したもの

SOCRadarの発見の概要によると、サーバーは誰でもアクセス可能な状態で放置され、INCとThe Gentlemenという2つのランサムウェアグループのアフィリエイトに関連していた。この発見を定義する3つの数字がある：

  • 8,257件のAIメッセージ：アシスタントClaudeおよびKimiとのやり取り
  • 46件の暗号化ビルド：展開可能な状態にコンパイルされたファイル暗号化マルウェアのバージョン
  • 62件の被害者名：サーバー上で特定された組織

この種の露出したサーバーは、ドアを開けっ放しにした作業場のようなものだ。研究者たちは完成した攻撃だけを見るのではなく、その背後にあるツール、記録、そして実際の会話を見ることができる。犯罪者によるインフラの未保護放置といった運用上のミスは、防御側がこの種の可視性を得られる数少ない方法の一つである。

INCとThe GentlemenがClaudeとKimiをどのように使用したか

最も注目すべき詳細はAI会話の量である。8,000件以上のメッセージは、これらのアフィリエイトにとってアシスタントが時折の実験ではなく、ワークフローの定常的な一部であったことを示唆している。元の資料は、暗号化ビルドや被害者記録と並んでチャットの存在を確認している。ここで利用可能な情報では、アシスタントが使用されたすべてのタスクを明記していないため、特定のプロンプトや出力について推測は行わない。

この組み合わせが示すのは、AIチャットツールが攻撃キャンペーンの機構のすぐ隣に位置しているということだ。一方にマルウェアビルド、もう一方に被害者リスト、その間に長いAI会話の記録がある。防御側にとっての実用的な教訓は、AIが犯罪者の定型業務を加速させる可能性があり、攻撃の準備と実行に必要な労力が低下するかもしれないということである。

また、2つの異なるアシスタントが登場することも重要だ。ClaudeとKimiは異なる開発元のものであり、アフィリエイトが単一のツールに縛られず、切り替えている可能性を示唆している。

62件の被害者名が標的選定について示すこと

62件の被害者名と46件の暗号化ビルドの並存は、一度限りの侵入ではなく、組織的で反復可能な運用を示している。多くのビルドが準備されていることは、攻撃者がカスタマイズされた、あるいは多様なバージョンのマルウェアを事前に用意していることを示唆し、単純なシグネチャベースの検出を信頼性の低いものにする可能性がある。

元の資料は被害者が属する業界や地域を分類していないため、セクター別の標的選定について確固たる結論を導くのは誤りであろう。より妥当な解釈はより限定的だ。ランサムウェアのアフィリエイトは標的の作業リストを保持し、事前にツールを準備しているということである。このパターンは、圧力をかけやすい組織を狙うグループの広範な傾向と一致しており、このテーマはQilinとAkiraランサムウェアギャングがサプライチェーン攻撃をエスカレートさせている方法に関する記事で探求している。

あなたにとってこれが意味すること

中小企業を経営している場合や自身のデバイスを管理している場合、このニュースは遠く感じられるかもしれないが、教訓は実用的だ。AIの支援は新しい侵入方法を発明するというよりも、既存の手法の準備を迅速にするものである。つまり、基本がより重要になるのであり、決して軽視してはならない。

  • 個人： 攻撃者は依然として盗まれたパスワード、未パッチのソフトウェア、騙されたユーザーに依存している。強力で固有のログイン情報と更新されたデバイスは有効な障壁であり続ける。
  • 中小企業： 小規模であることは保護にならない。アフィリエイトは被害者リストを保持しており、ツールがすでに構築されていれば準備は安価である。
  • すべての人： 雑な文言や稚拙な手法で攻撃を見分けられると仮定してはならない。AIはその両方を洗練させる手助けができる。

バックアップ、パッチ適用、MFAでランサムウェアリスクを軽減する方法

攻撃者を誰が、あるいは何が支援していようと、3つの習慣がランサムウェア対策の大部分を担う：

  1. オフラインまたはイミュータブルなバックアップを維持する。 ランサムウェアはファイルをロックするように設計されており、攻撃者がアクセスできないバックアップは危機を不便に変える。定期的に復元をテストすること。テストされていないバックアップは推測に過ぎない。
  2. 速やかにパッチを適用する。 オペレーティングシステム、ブラウザ、VPNアプライアンス、リモートアクセスツールのアップデートを可能な限り早くインストールする。インターネットに露出しているものは優先する。
  3. 多要素認証（MFA）を有効にする。 メール、リモートアクセス、管理者アカウント、クラウドサービスで有効にする。そうすれば盗まれたパスワードだけでははるかに役に立たなくなる。

いくつかの補助的なステップを加えよう。管理者権限を制限し、重要なシステムを日常的なものから分離し、被害にあった場合に誰に連絡するかを書き留めておく。

結論

SOCRadarの発見は、AIアシスタントを利用するランサムウェアギャングが、数千件のメッセージ、数十件のマルウェアビルド、数十件の被害者という規模で既に活動していることを思い起こさせる。犯罪者がこれらのツールで何をするかは制御できないが、どれだけ準備しているかは制御できる。今週、オフラインバックアップを設定し、速やかにパッチを適用し、MFAを有効にしよう。組織への広範な圧力を理解するには、QilinやAkiraのようなランサムウェアギャングがサプライチェーンを標的にしている方法に関する記事をお読みください。