タグ: ハッカー / ハッキング（用語）

金銭奪取目的のロシアのハッキンググループ「FIN7」は、ランサムウェアの活動を拡大すべく、IT専門家を誘い出すための偽の会社を設立していることがセキュリティ研究者によって明らかになった。

Recorded Future（レコーディッド・ヒューチャー）のGemini Advisory部門の研究者によると、FIN7はPOS（販売時点情報管理）レジをハッキングして数百万枚のクレジットカードから10億ドル（約1136億円）超を盗んだことで知られているが、現在は公共部門に特化したサイバーセキュリティ・サービスを提供するとうたっているBastion Secureを装って活動している。

Bastion Secureのウェブサイトは、本物のように見える。しかし調査の結果、FIN7は既存の合法的なサイバーセキュリティ企業が公開している本物の情報（電話番号、オフィス所在地、本物のウェブサイトにある文言）を利用して、正当であるように見せかけていることがわかった。Bastionのウェブサイトでは、2016年にSC Magazineの「Best Managed Security Service」賞を受賞したとうたい、またこの偽会社のコンサルタント部門は2016年にSix Degreesに買収されたと主張している。しかし、どちらも事実ではない。

Recorded Futureが偽会社のウェブサイトを分析したところ、正規のサイバーセキュリティ企業であるConvergent Network Solutions（コンバーバージェント・ネットワーク・ソリューションズ）のウェブサイトから大部分がコピーされていることがわかった。研究者によると、このサイトはサイバー犯罪者がよく利用するロシアのドメインレジストラ「Beget」でホストされており、偽会社のウェブサイトのサブメニューの一部はロシア語で「page not found（ページが見つかりません）」エラーを返す。これはサイト制作者がロシア語を話す人物であることを示している可能性があるという。

本稿執筆時点では、Chrome、Safariともにこの「偽装」サイトへのアクセスをブロックしている。

サイトと同様に、Bastion Secureの求人広告も十分に合法的なものにみえる。この架空の会社は、プログラマー、システム管理者、リバースエンジニアを募集しており、仕事内容も他のサイバーセキュリティ企業で見られるものと変わらない。

しかし、Recorded Futureによると、FIN7はBastion Secureを装って、さまざまなサイバー犯罪行為を行うために必要な作業を行うことができる「スタッフ」の育成を目指しているという。

「FIN7がランサムウェアへの関心を高めていることを考えると、Bastion Secureはおそらく特にシステム管理者を探しているのでしょう。というのも、このスキルセットを持つ個人ならランサムウェア攻撃をすることが可能だからです」と研究者は指摘した。

面接のプロセスも、研究者たちにとっては警鐘を鳴らすものだった。第1段階と第2段階では、Bastion Secureがサイバー犯罪活動を隠していることを示すものはなかったが、第3段階では従業員候補者に「実際の」課題を課していて、それによって隠していたものが露になった。

「この会社が犯罪行為に関与していることはすぐに明らかになりました」と研究者は述べた。「Bastion Secureの担当者がファイルシステムとバックアップに特に関心を持っていたという事実は、FIN7が（POS）感染よりもランサムウェア攻撃を行うことに関心を持っていたことを示しています」。

Bastion SecureのITリサーチャーとしての職を得たRecorded Futureの研究者の1人が、Bastion Secureから提供されたツールを分析したところ、そのツールがポストエクスプロイト（侵入後の活動の）ツールキット「Carbanak」と「Tirion（Lizar）」のコンポーネントであることが判明した。この2つのツールキットは、以前からFIN7のものとされており、POSシステムのハッキングとランサムウェアの展開の両方に使用することができる。

「FIN7が偽のサイバーセキュリティ企業を使って、犯罪行為のためにITスペシャリストを募集することにしたのは、比較的安価で熟練した労働力が欲しいためです」とRecorded Futureはいう。「Bastion SecureのITスペシャリスト職の求人情報の給与は月額800〜1200ドル（約9万〜13万6000円）で、これはソビエト後の国家においてはこの種の職種の初任給としてあり得る金額です。事実、FIN7の偽装会社スキームによって、FIN7の運営者はグループが犯罪活動を遂行するために必要な人材を入手することができ、と同時により大きな利益を保持することができます」。

FIN7が合法的な企業を装ったのは今回が初めてではなく、以前は「Combi Security」を装っていたが、望んでいなかった世間からの注目を受けて偽装会社の閉鎖せざるを得なくなった。

ランサムウェア専門家でEmsisoftの脅威アナリストであるBrett Callow（ブレット・カロウ）氏は、FIN7がBastion Secureを装ったのは、法執行機関からの不要な注目を避けるための試みでもあるとTechCrunchに語った。

「サイバー犯罪組織が偽の会社を使って人材を確保しようとすることは、まったく驚くことではありません。ダークウェブからの採用は問題が多く、リスクも高いものです」と話す。「ランサムウェアのギャングは、特定のサイバー犯罪フォーラムではかつてほど歓迎されておらず、応募者は潜入捜査を行っている法執行官である可能性もあります。通常の求人広告を使えば、この2つの問題を解決することができますが、一方で偽の会社がマネーロンダリングなど別の目的を持っている可能性もあります」。

「また、従業員は自分の仕事の性質について間違った方向に導かれる可能性があります。例えば、彼らは企業が自分のペネトレーションテストの本来あるべきではない受け手であることに気づかないかもしれません」とカロウ氏は述べた。

［原文へ］

（文：Carly Page、翻訳：Nariko Mizoguchi）

日本の大手企業Olympus（オリンパス）に対する「進行中」のサイバー攻撃は、米国政府による制裁対象となったロシアのランサムウェアグループによって引き起こされたと、この事件を知る2人の人物が語った。

10月10日に始まったこの攻撃では、「Macaw」と呼ばれる新しいマルウェアの亜種が使用され、米国、カナダ、ラテンアメリカにあるオリンパスのシステムが暗号化されている。Macawは、マルウェア「WastedLocker」の亜種で、いずれも2019年に米財務省の制裁を受けたロシアを拠点とする犯罪グループ「Evil Corp」が作成したものだ。

関連記事
・オリンパスが米国での新たなサイバー攻撃を認める、ランサムウェア「BlackMatter」がEMEA地域のシステムを攻撃した数週間後に
・Garminがサービスダウンはランサムウェアによるものと認める（一部機能は未復旧）

オリンパスにとってこの数カ月で2度目のランサムウェア攻撃となった。9月にも、ランサムウェアグループ「BlackMatter」によって欧州、中東、アフリカのネットワークがオフラインになっていた（BlackMatterとEvil Corp.の関連性は不明）。

「オリンパスは先月BlackMatterの攻撃を受け、1週間ほど前にもMacawの攻撃を受けました」とセキュリティ会社Recorded Futureのシニア脅威アナリストであるAllan Liska（アラン・リスカ）氏はTechCrunchに話した。リスカ氏によると、Macawは、ハッキングされたコンピューターに、被害者からデータを盗んだと表明する身代金請求書を残すという。

オリンパスは10月19日の声明で「データ流出の可能性」を調査しているとした。これは「二重恐喝」と呼ばれるランサムウェア・グループの一般的な手法で、ハッカーは被害者のネットワークを暗号化する前にファイルを盗み、ファイルを復号するために身代金を支払わなければ、ファイルをオンラインで公開すると脅す。

オリンパスの広報担当者Jennifer Bannan（ジェニファー・バナン）氏は、TechCrunchが10月20日に問い合わせた際、質問には答えず、同社が身代金を支払ったかどうかについても言及しなかった。

同社は「当社のシステム、顧客、その患者の安全のため、犯罪者とその行動についてはコメントしません。当社は、影響を受ける関係者に適切な通知を行うことを約束します」との声明を発表した。

財務省の制裁措置により、米国を拠点とする企業はファイルを取り戻すために身代金を支払うことが難しくなっている。これは、米国人が制裁対象の企業と取引することは「一般的に禁止」されているためだ。Evil Corpは、米国の制裁措置を回避するために、これまでに何度もマルウェアの名前を変えたり、修正したりしてきた。

ブルームバーグが10月20日に報じたところによると、先週、80以上の市場で185のテレビ局を所有または運営しているSinclair Broadcast Group（シンクレア・ブロードキャスト・グループ）に対してもMacawが使われ、広い範囲で混乱を引き起こした。Sinclairは10月18日の声明で、同社のネットワークからデータが盗まれたものの、どのような情報が盗まれたのか正確にはわからないと述べた。

Evil Corpは、2020年にランサムウェア攻撃を受けて約1週間サービスを停止したGarmin（ガーミン）や、保険大手のCNAにも攻撃を仕掛けた。

関連記事：ランサムウェア攻撃によってGarminのサービスが世界的に停止

画像クレジット：Bryce Durbin / TechCrunch

［原文へ］

（文：Zack Whittaker, Carly Page、翻訳：Nariko Mizoguchi）

米国商務省は、人権侵害をはじめとする悪質なサイバー活動を抑制するため、権威主義政府へのハッキングツールの輸出を禁止すると発表した。

ワシントンポスト紙が最初に報じ、その後商務省が確認したこの規則は、国家安全保障上の理由から、中国やロシアなどの懸念国へのハッキングソフトウェアや機器の輸出や転売を、同省産業安全保障局（BIS）のライセンスなしに事実上禁止するものである。

これは、バイデン政権が3月に中国とロシアへの国家安全保障上の強硬姿勢を継続するために、先進半導体や情報セキュリティのための暗号化を用いたソフトウェアなど、米国の技術の輸出を制限したことを受けた動きだ。

今回の制裁は90日後に発効する予定で、イスラエルのNSOグループが開発したスパイウェア「Pegasus」などのソフトウェアが対象となる。このスパイウェアは、いくつかの権威主義的な政府が、ジャーナリスト、活動家、政治家、企業経営者など、最も声高な批判者の携帯電話をハッキングするために使用してきた。

関連記事：45カ国と契約を結ぶNSOのスパイウェアによるハッキングと現実世界における暴力の関連性がマッピングで明らかに

一方、サイバー防衛を目的としたソフトウェアについては、米国のサイバーセキュリティ研究者が海外の研究者と共同研究を行ったり、ソフトウェアメーカーに欠陥を開示したりすることを妨げるものではないため、輸出許可が免除される。BISが2015年に初めてこの規則案を発表した際には、300件近くのコメントが寄せられ、正当なサイバーセキュリティの研究やインシデント対応活動に与える影響について「大きな懸念」が示された。

この規則により、米国は、軍事的安全保障・デュアルユース（軍民両用）技術に関する自主的な輸出管理方針を定めたワッセナー・アレンジメント（Wassenaar Arrangement）に加盟する欧州の42カ国および同盟国と足並みを揃えることになる。

Gina M. Raimondo（ジーナ・M・ライモンド）商務長官は次のように述べている。「米国は、多国間パートナーと協力して、サイバーセキュリティや人権を脅かす悪意のある活動に使用される可能性のある特定の技術の拡散を抑止することに尽力しています。特定のサイバーセキュリティ品目に輸出規制を課す商務省の暫定最終規則は、悪意のあるサイバーアクターから米国の国家安全保障を守ると同時に、合法的なサイバーセキュリティ活動を確保する、適切に調整されたアプローチです」。

2020年、ロシアに起因するSolarWindsハッキングの最初の被害者の1つとなった商務省は、この規則について45日間、一般からのコメントを募集する。同省はコンプライアンスの潜在的なコストと、合法的なサイバーセキュリティ活動に与えうる影響についてのコメントを求めている。規則が最終的なものとなるまでには、それからさらに45日間の修正期間が設けられている。

画像クレジット：Jack Guez / Getty Images

［原文へ］

（文：Carly Page、翻訳：Aya Nakazato）

米国ミズーリ州のMike Parson（マイク・パーソン）知事は、州ウェブサイトの深刻なセキュリティ障害を報道したジャーナリストを告訴すると脅したことで前代未聞の非難を浴びている。

先にSt. Louis Post-Dispatch（セントルイス・ポスト・ディスパッチ）紙のJosh Renaud（ジョシュ・ルノー）記者は、 州の初等中等教育局（DESE）のウェブサイトが、10万人を超える教員の社会保障番号（SSN）を露出したことを報じた。問題のSSNは同サイトのウェブページのHTMLソースコード経由で発見が可能で、インターネット接続のある人なら誰でも、ページで右クリックして「ページのソースを表示」を選ぶだけで個人情報を見ることができる。多くの人にとって、ページのソースコードはキーボードの「F12」キーを押すだけで見える。

Post-Dispatch紙はウェブサイトを修正するよう州当局に脆弱性を通知し、州に修正する時間を十分与えるために記事の公開を遅らせた。その後教育局は「教員検索機能は直ちに無効化」され、脆弱性はすでに修正されたことを正式発表した。

それで終わるはずだった。当局責任者であれば、不具合を発見して公表前に警告してくれたことについて同紙に感謝するのが一般的だが、ミズーリ州の共和党州知事マイク・パーソン氏は、脆弱性を発見したジャーナリストを「ハッカー」呼ばわりし、新聞社が欠陥を発見したのは「州当局を辱める」ためだったと語った。

「ハッカーとは情報やコンテンツを不正にアクセスする連中です。この人物は自分のやったことの許可を得ていません」と米国時間10月14日の記者会見で知事は語った。「この人物は被害者ではありません。新聞社は州当局に逆らい、教員たち個人情報を漏洩させることで州をはずかしめ自分たちの報道機関の見出しを飾ろうとしたのです」。

関連記事：オープンソース版の登場に対してWhat3Wordsがセキュリティ研究者に法的警告を送付

「私たちのシステムをハッキングする者やそれを幇助する者に対して州は断固として法的措置をとります」と、パーソン氏は言った。さらに知事は本件を郡検察庁に送致した。

当然のことながら、Post-Dispatch紙の記事に対する知事の反応（および「ハッカー」という用語に対する明らかに誤解）は批判を噴出させ、彼自身の党内からも避難を浴びた。共和党のTony Lovasco（トニー・ロバスコ）議員はTwitter（ツイッター）に「知事室がウェブテクノロジーおよびセキュリティ脆弱性の報告に関する業界標準手続きを根本的に理解していないことは明らかです」と指摘し「ジャーナリストがデータ・プライバシーに関して責任を持って警告を発することは犯罪的ハッキングではありません」と付け加えた。

Ron Wyden（ロン・ワイデン）上院議員もパーソン氏の発言を非難するツイートをした。「ジャーナリズムは犯罪ではありません。サイバーセキュリティ研究も同様です。真のリーダーは報道が政府の失敗を暴露したときに攻撃犬を放ったりせず、真摯に問題を修正するものです」。

サイバーセキュリティ業界も直ちにパーソン氏の発言に介入した。ハッカーでSocialProof Security（ソーシャルプルーフ・セキュリティ）CEOのRachel Tobac（ラチェル・トバック）氏は次のようにツイートした。「公共機関の提供するツールで誰でもキーボードのF12を押すだけで個人情報が漏洩されるようなら、そこにあるのはハッキング状態ではなく、重大なデータ漏えい問題です」。

Post-Dispatch紙はパーソン氏の発言を真に受けることもなく、ルノー記者を支持する立場をとっている。同紙は、自社の記者は「自らの発見を教育局に報告することで、州当局が露見や悪用を防げるようする責任ある行動をとったのです」と語った。

「ハッカーとは、悪意や犯罪の意図をもってコンピューターセキュリティを破る人々のことです。今回の行動に、ファイアーウォールやセキュリティの侵害も、悪意も一切ありません」と同紙が声明で語った。「教育局がこれを『ハッキング』と称することで自らの失敗への批判をかわそうとすることに根拠はありません」。

もちろん、パーソン知事は、州がセキュリティ脆弱性を発見、修正するのを手助けしたその犯罪とされる行為の「責任」がPost-Dispatch紙にあると主張しているものの、米国最高裁判所が最近のVan Buren（ヴァン・ビューレン）事件の判決で、本来見ることのできないファイルや情報をアクセスした者は法に違反していると裁定したことを踏まえると、ルノー氏が最終的に有罪判決を受ける可能性は低い。

しかし、もし州当局が法的措置に出れば、訴えがジャーナリズムやセキュリティ研究を萎縮させ、セキュリティ欠陥を発見して当事者に報告したセキュリティ研究者が法的脅威や攻撃に直面する問題がさらに拡大しかねない。

関連記事：オープンソース版の登場に対してWhat3Wordsがセキュリティ研究者に法的警告を送付

画像クレジット：Evgenii Bobrov / Getty Images

［原文へ］

（文：Carly Page、翻訳：Nob Takahashi / facebook ）

Olympus（オリンパス）は米国時間9月12日に短い声明を発表し、「現在、サイバーセキュリティ事象の可能性を調査している」ことを伝えた。同社の欧州、中東およびアフリカのコンピューターネットワークが影響を受けた可能性がある。

「不審な行動を検出した後、当社は科学捜査専門家を含む特殊対応チームを直ちに招集し、現在問題解決を最優先に作業しているところです。調査の一環として、影響を受けたシステム上でのデータ転送を中止し、関係する社外パートナーに通知しました」と声明で語っている。

しかし、本件に詳しい人物によると、オリンパスは米国時間9月8日の早朝に始まったランサムウェア攻撃から回復しいるところだという。その人物は12日にオリンパスが事件を認める以前に詳細詳細を提供した。

攻撃を受けたコンピューターに残された身代金要求文は、ランサムウェアグループのBlackMatter（ブラックマター）を名乗っている。「あなたのネットワークは暗号化され、現在操作不能状態です」と書かれていた。「身代金を支払えば、復号するためのプログラムを提供します」。脅迫状には、BlackMatterが被害者との連絡に使用していることが知られているTor Browser（トーア・ブラウザー）経由でのみアクセスできるサイトのウェブアドレスも書かれている。

関連記事：
・ランサムウェアが企業に与える莫大な金銭的被害は身代金だけじゃない
・「黒人のハーバード」と呼ばれる名門ハワード大学がランサムウェア攻撃を受け授業を中止
・ランサムウェアの問題を可視化するクラウドソースの身代金支払い追跡サイト「Ransomwhere」
・独立記念日を狙うKaseyaのハッキング、ランサムウェアで何百もの企業に被害

ランサムウェアの専門家でEmisisoft（エミシソフト）の脅威アナリストであるBrett Callow（ブレット・キャロー）氏は、脅迫状に書かれたサイトはBlackMatterグループと繋がっているとTechCrunchに伝えた。

BlackMatterは「サービスとしてのランサムウェア」のグループで、いくつかのランサムウェアグループの後継として組織された。DarkSide（ダークサイド）は、よく知られたColonial Pipeline（コロニアル・パイプライン）に対するランサムウェア攻撃後にこの犯罪世界を去り、ロシアのハッカーグループREvil（レビル）は、数百社の企業にランサムウェアをばらまいたKaseya（カセヤ）への攻撃の後、しばらく沈黙を続けている。どちらの攻撃も米国政府の目に留まり、政府は重要インフラストラクチャーが再び攻撃された時には行動を起こすことを約束した。

BlackMatterのようなグループは、攻撃を行う仲間たちに自分たちのインフラストラクチャーを貸与して、手に入れた身代金の一部を受け取る。Emsisoftは、DarksideとBlackMatterの間には技術的なつながりと共通するコードがあることも発見した。

BlackMatterが6月に登場して以来、EmsisoftはBlackMatterの仕業と思われるランサムウエア攻撃を40件以上記録しているが、被害者の総数はそれをはるかに上回っている可能性が高い。

BlackMatterのようなランサムウエア・グループは、まず会社のネットワークからデータを盗み出し、それを暗号化した後、身代金を払わなければファイルをオンラインで公開すると脅すのが典型的なやり方だ。被害者を公開し、盗んだデータを売るためのBlackMatterに関係する別のサイトには、本稿公開時点でまだオリンパスの名前は載っていない。

日本に本社を置くオリンパスは、医療、生命科学産業向けの光学およびデジタル複写製品を製造している。最近まで同社は、デジタルカメラやその他の電子製品を作っていたが、1月に不調のカメラ部門を売却した。

オリンパスは、「現在問題の範囲を特定しているところで、新しい情報が入り次第最新情報を提供します」と語った。

同社の広報担当者、Christian Pott（クリスチャン・ポット）氏は、本誌のコメントを求めるメールとテキストメッセージに返信していない。

画像クレジット：Jerome Favre / Bloomberg / Getty Images

[原文へ]

（文：Zack Whittaker、翻訳：Nob Takahashi / facebook ）