韓国でのデータ窃取恐喝キャンペーンは、紙面上ではほとんど滑稽に映る結果を生み出した。38の組織が標的とされ、90人の被害者からデータが盗まれ、総収益は報告によるとわずか226ドルだった。Cybernewsが報じ、警察の報告書から引用されたこの数字は、この事件を有益な現実確認の事例にしている。韓国のデータ恐喝ハッカーは必ずしも金銭的に成功するわけではないが、だからといって情報を盗まれた人々が安全であるわけではない。

226ドルの恐喝キャンペーンはどのように展開したか

Cybernewsの要約によると、このグループは90人の被害者からデータを盗んだ後、38の組織に圧力をかけた。報酬は226ドルだった。私たちが入手できる資料では、誰が支払ったのか、何件の支払いがあったのか、身代金の要求額はいくらだったのかは明らかにされていないため、これらの詳細について推測はしない。

数字が示しているのは、労力と報酬の間の大きな隔たりである。数十人の被害者からデータを盗み、数十の組織に連絡することは実際の作業だが、見返りはごくわずかだった。これは、実行力が乏しかったか、標的設定が不適切だったか、あるいはその両方であることを示しており、連絡を受けた組織のほとんどが屈しなかったことを示唆している。

これは、デジタル恐喝のより産業化された姿とは対照的である。ビジネスモデルとしてのランサムウェアに関する私たちの分析では、この分野が小規模で秘密主義的な集団から、より組織化された構造へと移行してきた経緯を説明している。韓国の事例はその対極に位置する。すべての恐喝集団が洗練された犯罪企業であるわけではないということを思い出させてくれる。

警察の報告書が明らかにするハッカーの手口

Cybernewsの記事によると、調査結果は警察の報告書に基づいている。私たちがアクセスできる記事の部分は要約であり、ハッカーが使用した技術的手法は明記されていないため、この記事では特定のツールや侵入経路について推測することはしない。

報告された数字から言えることは次のとおりである。

  • モデルはデータ窃取に圧力を加えるものだった。 グループはまずデータを取得し、その後組織に連絡した。これは一般的な恐喝のパターンであり、被害者のシステムを暗号化する必要はない。
  • 規模は控えめだった。 90人の被害者と38の標的組織は、記録上最大級のキャンペーンとは程遠い。
  • 警察は活動を文書化できた。 これらの数字を含む警察の報告書が存在するということは、捜査当局が何が起こったか、そしてどれほど少額の金銭がやり取りされたかについて把握していたことを示唆している。

低スキルの恐喝はしばしば一つの前提に基づいて機能する。それは、組織が恥をかいたり規制上の問題を避けたりするために迅速に支払うだろうという前提である。組織が拒否した場合、あるいは単に応答しなかった場合、経済性は崩壊する。この事例ではまさにそれが起きたようである。

失敗した恐喝でも被害者のデータが危険にさらされる理由

226ドルの支払いは、被害がなかったことと同じではない。データは依然として90人の被害者から盗まれた。情報が組織のシステムから離れた時点で、その情報が記述する人々は次に何が起こるかを制御できない。恐喝が成功したかどうかにかかわらず、それは保持され、販売され、共有され、あるいは公開される可能性がある。

個人にとっても実際的なリスクがある。氏名、メールアドレス、認証情報などの盗まれたデータは、フィッシング、アカウント乗っ取りの試み、あるいは後続の詐欺に再利用される可能性がある。組織から金銭を得ることに失敗した集団は、データ自体から金銭を得ようとするかもしれない。

韓国は個人情報が漏洩した他の事件にも対処してきた。例えば、政府運営の研修機関で韓国の外交官侵害が1万件の記録を流出させた事例を私たちは報じた。異なる行為者と異なる状況だが、核心的な教訓は同じである。あなたのデータはしばしばあなたが管理していないシステムの中にある。

これがあなたにとって意味すること

ほとんどの人は組織が侵害されることを防げない。できることは、あなたの情報が盗まれたデータセットの一部である場合に被害を限定することである。

  • 漏洩の可能性を想定する。 あなたが取引している組織が侵害を報告した場合、それに関連すると主張する連絡は疑ってかかる。
  • 後続の詐欺を予期する。 恐喝集団や他の犯罪者は、盗まれた連絡先情報を使って人々に直接メールやメッセージを送るかもしれない。
  • 支払わず、脅迫に対応しない。 あなたのデータを公開すると脅すメッセージを受け取った場合、応答したり金銭を送ったりしない。この事例は恐喝が実際にどれほど少額しか稼げないかを示しており、支払っても削除が保証されることは決してない。
  • アカウントの活動に注意する。 予期しないログイン通知、パスワードリセットのメール、アカウント上の新しいデバイスは注意に値する。

恐喝の試みからアカウントを保護する方法

基本的な対策をしっかり行うことが、日和見的な攻撃者に対しても大いに役立つ。

  1. すべてのアカウントで固有のパスワードを使用する。 パスワードマネージャーを使えば現実的にできる。一つのサービスが認証情報を漏洩しても、他は保護されたままである。
  2. 多要素認証を有効にする。 可能であればSMSよりも認証アプリやハードウェアキーを優先する。
  3. 侵害通知の後にパスワードを変更する。 影響を受けたサービスと、同じパスワードを再利用したすべての場所でこれを行う。
  4. 共有する情報を限定する。 組織には本当に必要な個人データだけを提供する。収集されなかったデータは盗まれることがない。
  5. 予期しないメッセージに注意する。 侵害や脅迫に言及するメッセージ内のリンクをクリックしたり添付ファイルを開いたりしない。公式ウェブサイトに直接アクセスする。
  6. 古いアカウントを見直す。 使わなくなったアカウントを削除し、あなたの情報を保持する組織を減らす。

韓国では、韓国の銀行ツールに関わるAnySign4PCゼロデイのように、セキュリティツール自体が攻撃対象となる事例も見られている。ソフトウェアを最新の状態に保つことも維持する価値のある習慣である。

まとめ

226ドルという数字は良い話だが、安心する理由にはならない。韓国のデータ恐喝ハッカーはこの事例ではほとんど利益を得られなかったが、90人の被害者は依然としてデータを盗まれた。アカウントを保護し、多要素認証と組み合わせた固有のパスワードを使用し、共有する個人情報をできるだけ少なくしよう。より広い文脈については、ランサムウェアと恐喝のビジネスモデルに関する私たちの報道と、他の韓国の侵害に関する私たちの記事を読んでほしい。