AIを用いた自律的なサイバー攻撃が話題を集める中、実際に大手金融機関を突き崩しているのは、電話一本で相手を信じ込ませる「ビッシング」という、地道で古典的な手口だったとしたら、どう受け止められるでしょうか。
Googleの脅威インテリジェンスチームは8月6日、複数のハッカー集団が米国の大手金融・投資会社に不正侵入し、機微データを窃取した上で公開すると脅して恐喝しているとするレポートを公表した。
Googleは被害企業名を明らかにしていないが、Reutersの報道によれば、Blackstone、KKR、Apollo Global Managementなど大手プライベートエクイティ企業が被害に含まれるという。Googleはこれらの集団をFalcon、Helix、Pink、Redactと命名した。手口は、従業員の個人携帯電話に電話をかけ、同僚やITヘルプデスク担当者を装って偽装サイトに認証情報や多要素認証コードを入力させる「ビッシング」である。ハッカーの初期要求額は1件あたり最大300万ドルに上るとされる。
From: 
Google says hackers are calling financial firm employees to hack and extort victims
【編集部解説】
なぜ、いまも「電話」が最強の攻撃ベクトルなのか
Googleが報告した一連の侵入の起点は、驚くほど古典的です。従業員の個人携帯電話への1本の電話——それがすべての始まりでした。
さらに興味深いのは、その口実です。攻撃者はITヘルプデスクを装い、「緊急のセキュリティ移行のためパスキー（FIDO2）の設定が必要」と持ちかけ、偽装サイトへ誘導していました。誘導先は、認証情報と多要素認証コードをリアルタイムで盗み取る中間者攻撃（Adversary-in-the-Middle、AiTM）の仕組みを備えたページです。パスキーは本来、フィッシング耐性を持つ次世代認証として普及が進められている技術です。その「導入作業」を騙りの材料にするという皮肉は、技術的な防御策がどれほど強固でも、それを扱う人間の心理的な隙は別問題として残り続けることを物語っています。
単独犯か、それとも「恐喝ブランド」の集合体か
Googleはこれらの攻撃集団を、正体や所属がまだ確定していない攻撃者クラスターとして「UNC6671」という識別番号で追跡しています。UNC6671は今年5月、「BlackFile」ブランドの活動終了を一方的に発表していました。ところがGoogleの追跡調査では、この“廃業宣言”の後もビットコインでの身代金受領が続いていたことが確認されています。その後6月末、身元不明の運営者は「元関係者による偽サイトの乗っ取りが原因」と主張し、Redactへの改称を発表しました。
Googleの分析では、Redact・Pink・Helix・Falconという表向き別々のブランドの背後で、同一のドメイン群やフィッシングテンプレートが使い回されている実態が確認されています。単一の集団が複数の看板を使い分けているのか、分裂した元メンバーがそれぞれ独立して活動しているのか、あるいは共通のフィッシング基盤を複数の集団が間借りしているだけなのか――Google自身、断定を避けています。ブランドを複数持つこと自体が、被害総量を外部から把握されにくくし、交渉決裂のリスクを一つの看板に集中させない防御策として機能している可能性がある、というのがGoogleの見立てです。
標的の変遷が示す「情報の値段」
Googleが追跡したドメイン登録の推移を見ると、標的の質が明確に変化していることが分かります。4〜5月は製造業・不動産・ヘルスケア・保険など幅広い大企業、6月にはテクノロジー・運輸・宿泊業へと移り、7月にはプライベートエクイティや法律事務所、格付け機関など金融・法務系組織へと絞り込まれています。Google脅威インテリジェンスチームのアナリストであるAustin Larsen氏はReutersの取材に対し、標的選定はつまるところ経済合理性の計算だと説明しています。情報を漏らされたくない企業ほど、身代金を支払う可能性が高いと踏んでいるということです。M&Aや資金配分、訴訟に関わる組織が集中的に狙われている背景には、この計算があるとみられます。
なお、暗号資産の受領額についてはひとつ補足が必要です。今回のGoogleレポートでは、1月から5月にかけて確認された18個のビットコインウォレットが合計141.65BTC（当時のレートで約1,069万ドル相当）を受領したと記載されています。また身代金の要求額は当初100万〜300万ドルとされる一方、実際の交渉では50〜75%引き下げられるケースが多く、追跡できた案件の過半数で最終支払額は平均75万ドル前後に落ち着いていました。要求額と実際の支払額には、交渉によって大きな開きが生まれる構造がうかがえます。
被害を受けたとされる金融各社はいずれもコメント要請に応じていません。一方Reutersによれば、Googleは社名こそ明らかにしていないものの、一部の被害企業が実際に身代金を支払った事例があることを認めています。どの企業がどの程度の被害に遭ったのかは、依然として外部からは分かりません。
【関連記事】
Microsoft Teams悪用の偽ITサポート通話が相次ぐ、EtherRATマルウェアで企業ネットワークが標的に
同様のITサポートを装った音声通話による侵入は、Teamsを使った手口としても報告されています。
Scattered Spider、米国保険業界を新標的に Google警告、ソーシャルエンジニアリングでMFA突破
Googleが電話を使ったMFA突破の手口を警告するのは、これが初めてではありません。
Salesforce標的のUNC6040・UNC6395にFBI警告 OAuth悪用で700社被害
Google・Mandiantが「UNC」の識別番号を付与する攻撃者クラスターは、これまでも度々報告されてきました。
サイバー犯罪2大グループ「ShinyHunters」「Scattered Spider」連携、Salesforce経由恐喝攻撃の新展開
複数の攻撃集団が連携・共闘する動きは、Salesforceを狙った事案でも見られました。
【編集部後記】
今回のレポートで意外だったのは、パスキーという「フィッシングに強い」はずの技術そのものが、口実として使われていた点です。技術的な防御線がどれだけ更新されても、それを扱う「人」への働きかけは、形を変えて残り続けるのかもしれません。もし自分の職場に、ITヘルプデスクを名乗る電話がかかってきたら——今回の記事が、その一瞬に思い出される小さな引っかかりになれば幸いです。
【用語解説】
ビッシング（Vishing）
電話を使って相手を信じ込ませ、認証情報などを聞き出す詐欺手口。Voice（音声）とPhishing（フィッシング）を組み合わせた造語。
AiTM攻撃（Adversary-in-the-Middle）
偽のログイン画面を経由させ、ID・パスワードだけでなく多要素認証コードやセッション情報までリアルタイムで盗み取る中間者攻撃の一種。
多要素認証（MFA）
パスワードに加え、SMSコードやアプリ通知など複数の要素を組み合わせて本人確認を行う仕組み。
パスキー（Passkey/FIDO2）
生体認証や端末のロック解除と同じ操作でログインできる、パスワード不要の認証方式。仕組み上フィッシングに強いとされる次世代の認証技術。
UNC（Uncategorized）
GoogleやMandiantが、正体や所属集団がまだ確定していない攻撃者クラスターに割り振る識別番号。
SSO（シングルサインオン）
一度の認証で複数のサービスにログインできる仕組み。
DLS（データ漏洩サイト）
攻撃者が窃取データの公開をちらつかせ、被害者に身代金を要求するために運営する専用サイト。
プライベートエクイティ（PE）
未公開企業などに出資し、経営改善後の売却等で利益を得る投資会社。M&Aに関する機密情報を大量に扱う。
【参考リンク】
Google Cloud Blog（脅威インテリジェンス）（外部）
Google Threat Intelligence Groupが攻撃者動向を発信する公式ブログ。今回のレポート掲載元。
Mandiant（Google Cloud）（外部）
今回の調査を担当した、Google Cloud傘下の脅威インテリジェンス専門部門の公式ページ。
FIDO Alliance「パスキーとは」（外部）
今回悪用されたパスキー（FIDO2）技術の仕組みを解説する業界団体の公式サイト。
CISA「Recognize and Report Phishing」（外部）
フィッシングの見分け方と通報先を紹介する、米サイバーセキュリティ庁の公式ガイド。
【参考記事】
UNC6671 Rebrands: Multi-Brand Vishing Extortion Targets Financial Services and Enterprise Cloud Environments — Google Cloud Blog（外部）
攻撃手口や標的の変遷、暗号資産分析まで網羅した一次情報。本記事の中核情報源。
Welcome to BlackFile: Inside a Vishing Extortion Operation — Google Cloud Blog（外部）
前身ブランド『BlackFile』の初期活動を報告した先行レポート。改称経緯の背景情報。
Exclusive-Hackers targeted US private equity, other firms including Blackstone, CME, data shows — Reuters（外部）
被害企業名とGoogleアナリストへの取材から、標的選定の経済合理性を明らかにした報道。
