活躍するZ世代 サイバーセキュリティでの評判は？

効果的なサイバー攻撃を考案し、実行している犯罪グループの実体はどのようなものなのだろうか。被害に遭ったGoogle Cloudの顧客の事例から分かることとは。

[Matt Kapko，Cybersecurity Dive]

　Google Cloudの一部門Mandiant Consultingのチャールズ・カーマカル氏（CTO《最高技術責任者》）は2023年4月23日（現地時間）、RSA Conferenceの会場外でのメディアブリーフィングにおいて、サイバー犯罪にかかわる脅威グループの特徴について語った。

優秀さを悪用しているのは誰だ

　「われわれの特定した悪意のある集団は、通常、英語を第一言語としており、非常に効果的なソーシャルエンジニアとして活動している」（カーマカル氏）

　世代別に見ると、米国と英国の10〜20代の若者たちのグループが、今日最も一般的な脅威の一つだという。

　2022年、ティーンエージャーをはじめとする若者たちは、Twilio（注1）やUber（注2）、Okta（注3）への侵入など、最も注目を集めた攻撃のいくつかに関与していた。Twilioに対する攻撃は少なくとも163の組織の侵害につながり、洗練されたフィッシング攻撃によって引き起こされる潜在的な被害がいかに拡大するのかを見せつけた。

企業が検知できないところで機密情報が侵害されている

　「防御が非常に困難な技術を活用して、若い個人が世界でも有数の大きな企業に侵入したことを確認済だ」（カーマカル氏）

　これらの攻撃者は攻撃対象に特化したフィッシングメールなどを作成し、警戒心のない被害者を悪意のあるWebサイトに誘導する。その後、モバイルデバイスを通じて機密の認証情報や多要素認証コードを盗み出した。

　「これら一連の流れ全てが携帯電話のネットワークを介しているため、企業は犯罪に至るまでの状況を監視したり検知したりできない」（カーマカル氏）

　2022年の夏、攻撃者グループの一つGroup-IBが「Oktapus」と名付けたキャンペーンを実行し、136の組織を横断して1万以上のユーザー認証情報が侵害された。

　Lapsus$もまた、世界のさまざまな企業や政府機関を標的にし、時には冷酷なデジタルでの恐喝を行ってきたランサムウェアグループだ。同グループはCyber Safety Review Boardによる2度目の審査対象になった（注4）。

犯罪の成功率を高めるために卑劣な手段に出る

　Lapsus$やOktapusは従業員や、ときには従業員の家族に嫌がらせを加え、極めて個人的な方法で恐喝を実施する。

　「もしもあなたが企業の重役であり、あなたの娘が攻撃者から嫌がらせを受けたとしたら、これは（通常のサイバー攻撃とは）全く違った話になる」（カーマカル氏）

　カーマカル氏によると、現在、Mandiant Consultingのクライアントの1社は恐喝を受けており、攻撃者から非常に丁寧だが威圧的なメッセージが付いた『花束』を受け取ったとのことだ。

　「（娘が嫌がらせを受けるといった）個人的な攻撃に対処しなければならない場合、恐喝に対して身代金などを支払う意思が10倍にも跳ね上がる」（カーマカル氏）

　これがLapsus$やOktapusが卑劣な恐喝を続ける理由だ。

出典：Teenagers, young adults pose prevalent cyberthreat to US, Mandiant says （Cybersecurity Dive）

注1：Twilio discloses more victims as phishing attack effects cascade（Cybersecurity Dive）

注2：Uber details how it got hacked, claims limited damage（Cybersecurity Dive）

注3：Okta denies security incident as Lapsus$ group goes on a spree（Cybersecurity Dive）

注4：Cyber Safety Review Board to probe Lapsus$ ransomware spree（Cybersecurity Dive）