世代別に見ると、米国と英国の10～20代の若者たちのグループが、今日最も一般的な脅威の一つだという。

　2022年、ティーンエージャーをはじめとする若者たちは、Twilio（注1）やUber（注2）、Okta（注3）への侵入など、最も注目を集めた攻撃のいくつかに関与していた。Twilioに対する攻撃は少なくとも163の組織の侵害につながり、洗練されたフィッシング攻撃によって引き起こされる潜在的な被害がいかに拡大するのかを見せつけた。

企業が検知できないところで機密情報が侵害されている

　「防御が非常に困難な技術を活用して、若い個人が世界でも有数の大きな企業に侵入したことを確認済だ」（カーマカル氏）

　これらの攻撃者は攻撃対象に特化したフィッシングメールなどを作成し、警戒心のない被害者を悪意のあるWebサイトに誘導する。その後、モバイルデバイスを通じて機密の認証情報や多要素認証コードを盗み出した。

　「これら一連の流れ全てが携帯電話のネットワークを介しているため、企業は犯罪に至るまでの状況を監視したり検知したりできない」（カーマカル氏）

　2022年の夏、攻撃者グループの一つGroup-IBが「Oktapus」と名付けたキャンペーンを実行し、136の組織を横断して1万以上のユーザー認証情報が侵害された。

　Lapsus$もまた、世界のさまざまな企業や政府機関を標的にし、時には冷酷なデジタルでの恐喝を行ってきたランサムウェアグループだ。同グループはCyber Safety Review Boardによる2度目の審査対象になった（注4）。

犯罪の成功率を高めるために卑劣な手段に出る

　Lapsus$やOktapusは従業員や、ときには従業員の家族に嫌がらせを加え、極めて個人的な方法で恐喝を実施する。

　「もしもあなたが企業の重役であり、あなたの娘が攻撃者から嫌がらせを受けたとしたら、これは（通常のサイバー攻撃とは）全く違った話になる」（カーマカル氏）

　カーマカル氏によると、現在、Mandiant Consultingのクライアントの1社は恐喝を受けており、攻撃者から非常に丁寧だが威圧的なメッセージが付いた『花束』を受け取ったとのことだ。

　「（娘が嫌がらせを受けるといった）個人的な攻撃に対処しなければならない場合、恐喝に対して身代金などを支払う意思が10倍にも跳ね上がる」（カーマカル氏）

　これがLapsus$やOktapusが卑劣な恐喝を続ける理由だ。