WhiteArmorと名乗るランサムウェアグループが、物流企業Ryderからデータを窃取したと主張した。この主張は検証されておらず、情報源の報告書も詳細に乏しい。それでもなお、このインシデントは、インフォスティーラー型ランサムウェアによる認証情報窃取がどのように機能するのか、そして一般ユーザーが同様の連鎖の最初の環とならないために何ができるのかを学ぶ有用な事例である。

WhiteArmorがRyderについて主張していること

Quasar Cybertechの脅威インテリジェンス報告書によると、WhiteArmorはRyderからデータを取得したと述べている。報告書の入手可能なテキストは限られており、どのようなデータが取得された可能性があるのか、その量、あるいはグループがどのように侵入したのかは確認されていない。情報源の資料では、Ryderがこの主張を確認したことは示されていない。

この区別は重要である。ランサムウェアや恐喝グループは、誇張であることが判明する主張を投稿することもあれば、正確であると判明する主張もある。企業または独立した第三者によって詳細が検証されるまでは、警報ではなく慎重さが取るべき姿勢である。

報告書が強調しているのは防御上の教訓である。報告書はこのインシデントを、インフォスティーラー主導のランサムウェアキャンペーンがもたらすリスクの提醒として位置づけ、セキュリティチームに対し、侵害された認証情報を起源とする不正アクセスの試みを監視するよう助言している。また、組織が潜在的な恐喝に備えられるよう、インシデント対応計画を見直すことも推奨している。

インフォスティーラーがランサムウェア恐喝をどのように支えるか

インフォスティーラーとは、感染したデバイスから機密情報を静かに引き出すために作られたマルウェアの一種である。これには保存されたパスワード、ブラウザデータ、その他のログイン情報が含まれ得る。破壊的なマルウェアのように自らを知らせることは通常なく、それが長期間にわたって気づかれずにいる理由の一つである。

恐喝との関連は明快である。盗まれた認証情報は収集、取引、または再利用され得る。企業システムの有効なログイン情報を保持する攻撃者は、力ずくで侵入する必要がないかもしれない。単にサインインすればよいのだ。そこからデータをコピーして持ち出し、その後グループは支払いがなければ公開すると脅すことができる。これが、報告書がインフォスティーラー主導のランサムウェアキャンペーンに言及する際に指し示しているパターンである。

専門家以外の方にとって注目すべき点が二つある：

  • 最初の侵害は、多くの場合、従業員のラップトップや仕事に使用される個人のコンピューターなど、単一のありふれたデバイスである。
  • 正規に見える認証情報は本物のログインと区別するのが難しいため、監視は異常な場所からのアクセスや奇妙な時間帯のアクセスといった通常とは異なるパターンに焦点を当てる必要がある。

これがあなたにとって何を意味するか

あなたがRyderの顧客、従業員、またはパートナーである場合、情報源には何が取得されたかについて確認された情報がないため、現時点で結論できることは何もない。合理的な対応は、企業からの公式なコミュニケーションに注意を払い、Ryder、出荷、またはアカウントの問題に言及する一方的なメール、電話、またはテキストメッセージに懐疑的になることである。恐喝キャンペーンや後続のフィッシングは、主張された侵害に関する世間の注目を利用することがある。

未検証の主張で名前が挙がっている企業にアカウントをお持ちの場合、パニックになる必要はないが、以下の対応は賢明である：

  • そのアカウントのパスワードを他の場所で再利用している場合は変更する。
  • 多要素認証が利用可能な場合は有効にする。
  • 最近のサインイン活動に見覚えのないものがないか確認する。

従業員や管理者にとって、報告書の助言は直接的に当てはまる：既知の侵害された認証情報を使用する不正アクセスの試みを監視し、恐喝の要求が届いた場合の対応をインシデント対応計画が網羅していることを確認すること。

個人アカウントを認証情報窃取から守る方法

大企業がどのようにシステムを保護するかを制御することはできないが、インフォスティーラーがあなた自身のデバイスから取得する可能性のあるものの価値を下げることはできる。

すべてのアカウントに固有のパスワードを使用する。 再利用こそが、一つの盗まれたログイン情報を多数に変える原因である。パスワードマネージャーを使えばこれが実用的になる。

多要素認証を有効にする。 パスワードが盗まれたとしても、第二の要素がサインインを阻止できる。可能な場合は、テキストメッセージよりもアプリベースまたはハードウェアベースの方法を優先する。

デバイスとソフトウェアを最新の状態に保つ。 オペレーティングシステム、ブラウザ、セキュリティソフトウェアの更新は、マルウェアが依存する穴を塞ぐ。

何をインストールし、何をクリックするかに注意する。 インフォスティーラーは通常、悪意のあるダウンロード、偽のソフトウェア、フィッシングリンクを通じて侵入する。公式の情報源に限定する。

必要のない場所に機密のログイン情報を保存しない。 ブラウザに保存されたパスワードは一般的な標的であるため、強力なマスターパスワードを備えた専用のパスワードマネージャーを検討する。

感染が疑われる場合、 ネットワークから切断し、信頼できるセキュリティスキャンを実行し、クリーンなデバイスからパスワードを変更する。

結論

WhiteArmorのRyderに関する主張は依然として未検証であり、詳細は乏しい。明確なのは、より広い教訓である：インフォスティーラー型ランサムウェアの認証情報窃取はありふれたログイン情報から始まり、そのログイン情報はしばしばありふれたデバイスから来る。固有のパスワードを使用し、多要素認証を有効にし、デバイスを最新の状態に保つこと。これらの習慣はすべての攻撃を阻止するものではないが、あなたのアカウントをはるかに攻略が難しく、報われない標的にする。