タグ: ハッカー / ハッキング（用語）

あるリークサイトは、募金サイトGiveSendGoがハッカーに狙われた後、オタワでのトラック運転手による抗議デモ「Freedom Convoy（フリーダムコンボイ）」への寄付者に関する情報のキャッシュを受け取ったという。

GiveSendGoのウェブサイトは現地時間2月14日、サイトが乗っ取られ、ハッカーによってコントロールされていると思われるページにリダイレクトされるようになり、その数時間後に「メンテナンス中」となって、もはや読み込めなくなったと明らかにした。リダイレクトされたページは、新型コロナウイルス感染症のワクチン接種の義務化に反対してカナダの首都を襲い、1週間以上にわたって交通と貿易に広範な混乱を引き起こしたトラック運転手たちを非難した。

このページには、Freedom Convoyに寄付をした人たちの「生の寄付データ」と称される数万件の記録を含むファイルへのリンクも含まれていた。

しばらくして、非営利のリークサイト「Distributed Denial of Secrets」が、GiveSendGoから30MBの寄付者情報を受け取ったと発表した。この中には、同サイトで行なわれた「すべてのキャンペーン」に対する寄付者の自称氏名、電子メールアドレス、郵便番号、IPアドレスが含まれていた。

Distributed Denial of Secretsは、極右グループに関する一連の流出データを保管していることで知られるサイトだが、このデータは研究者やジャーナリストにのみ提供されると述べた。

ジャーナリストのMikael Thalen（ミカエル・タレン）氏によると、今回の情報漏洩は、1000件以上の身分証明書類を保存しているAmazon（アマゾン）がホストするS3バケットをGiveSendGoがインターネットに公開したままにしていた、以前のセキュリティ過失とは別のものだ。タレン氏は2月13日夜に今回のデータ漏洩を最初に指摘した。

関連記事：カナダのワクチン義務化に抗議するトラック運転手たちの寄付サイトから個人情報流出

GoFundMeがオタワで発生した暴力の警察報告を理由にクラウドソーシングキャンペーンを停止して数百万ドル（数億円）の寄付を凍結した後、マサチューセッツ州ボストンを拠点とするGiveSendGoは1月にFreedom Convoyの主要寄付サービスになっていた。週末には、カナダの裁判所がGiveSendGoが集めた資金へのアクセスを停止する命令を出したが、同社は命令に従わないと述べた。

抗議者らは2月初め、Freedom Convoのために800万ドル（約9億円）超を集めた。

GiveSendGoの共同設立者、Jacob Wells（ジェイコブ・ウェルズ）氏は、コメントの要請に応じなかった。

画像クレジット：Stephanie Keith / Bloomberg / Getty Images

［原文へ］

（文：Zack Whittaker、翻訳：Nariko Mizoguchi）

2021年は、ランサムウェアギャングが重要インフラに目を向け、製造業、エネルギー流通、食品生産を中心とした企業をターゲットにした年として記憶されるだろう。

Colonial Pipeline（コロニアル・パイプライン）のランサムウェア攻撃は、ITネットワークへのランサムウェア攻撃が燃料を分配するパイプラインを制御する運用ネットワークへ広がる懸念から、結果として5500マイル（約8850km）のパイプラインを停止させる事態となった。

運用・制御技術（OT）ネットワークは、生産ライン、発電所、エネルギー供給を継続的に行うために重要な機器を制御するもので、重要なハードウェアをサイバー攻撃からより適切に隔離することができるよう、通常、企業のインターネット向けITネットワークからセグメント化されている。OTネットワークに対する攻撃が成功することは稀だが、Colonialへのランサムウェア攻撃をきっかけに、CISA（米国土安全保障省サイバーセキュリティー・インフラセキュリティー庁）は重要インフラ所有者にとって脅威が増大していると警告している。

セキュリティ研究者は現在、これらのOTネットワーク上にある組み込み機器がもたらすリスクについて警鐘を鳴らしている。組み込み機器向けのセキュリティプロバイダーRed Balloon Security（レッドバルーンセキュリティ）は、実際のネットワークで使用されている組み込みシステムでランサムウェアを展開することが可能であることを、新たな調査で明らかにした。

同社によると、Schneider Electric（シュナイダーエレクトリック）のEasergy P5保護リレーに脆弱性が発見された。この装置は、障害が発見されるとサーキットブレーカーを作動させ、現代の電力網の運用と安定性に重要な役割を果たすものだ。

この脆弱性を悪用してランサムウェアのペイロードを展開することが可能で、Red Balloonはこのプロセスを「高度だが再現可能」だと述べている。Schneider Electricの広報担当者はTechCrunchに対し「サイバー脅威には非常に警戒している」とし「Schneider ElectricのEasergy P5保護リレーの脆弱性を知り、直ちにその解決に取り組みました」と述べた。

Red Balloonの創業者で共同CEOのAng Cui（アング・ツイ）氏は、ランサムウェア攻撃は重要インフラプロバイダーのITネットワークを攻撃しているが、OT組み込み機器の攻撃に成功した場合は「はるかに大きな損害」になるとTechCrunchに語った。

「企業は、組み込み機器そのものへの攻撃から回復することに慣れていませんし、経験もありません」とツイ氏は話す。「デバイスが破壊されたり、回復不可能になった場合、代替デバイスを調達する必要がありますが、供給量に限りがあるため、数週間かかることもあります」。

2021年にIoTメーカーがソフトウェアアップデートを確実かつ安全にデバイスに配信できるようサポートするスタートアップを立ち上げたセキュリティのベテランであるWindow Snyder（ウィンドウ・スナイダー）氏は、特に他の侵入ポイントがより回復力を持つようになると、組み込み機器は簡単にターゲットになる可能性があると話す。

組込み機器に関して、スナイダー氏はTechCrunchに対し「その多くは特権分離がなされておらず、コードとデータの分離もなされておらず、多くはエアギャップ・ネットワーク上に置かれることを想定して開発されたもので、それでは不十分です」と述べた。

Red Balloonの調査によれば、数十年前に製造されたものが多いこれらの機器に組み込まれているセキュリティは改善される必要があり、政府や商業部門のエンドユーザーに対して、これらの機器を製造しているベンダーに対してより高い基準を求めるよう呼びかけている。

「ファームウェアの修正版を発行することは、最もミッションクリティカルな産業やサービスにおける全体的なセキュリティの低さに対処できない、消極的で非効率的なアプローチです」とツイ氏は指摘する。「ベンダーは、組み込み機器のレベルまでセキュリティを高める必要があります」。同氏はまた、米政府が規制レベルでより多くの取り組みを行う必要があり、現在、デバイスレベルでより多くのセキュリティを組み込むインセンティブがないデバイスメーカーに、さらなる圧力をかける必要があると考えている。

しかし、スナイダー氏は、規制主導のアプローチは役に立たないと考えている。「最も有効なのは、攻撃対象領域を減らし、区画化を進めることだと思います。より安全なデバイスを作るために規制をかけることはできないでしょう。誰かが、デバイスに回復力を持たせなければならないのです」と述べた。

画像クレジット：Sean Gallup / Getty Images

［原文へ］

（文：Carly Page、翻訳：Nariko Mizoguchi）

ロシア連邦保安庁（FSB）は現地時間1月14日、悪名高いランサムウェア集団「REvil」を摘発し、その活動を停止させたと発表した。

この前例のない動きは、ロシア国外で活動する他のランサムウェア集団に対するメッセージとなることは間違いなく、ロシア当局はモスクワ、サンクトペテルブルク、リペツクの各地域で、REvilのメンバーとみられる14人が所有する25の建物を家宅捜索した。

2021年7月に活動を停止し、その後、9月に復活に失敗したREvilは、Colonial Pipeline（コロニアル・パイプライン）、JBS Foods（JBSフーズ）、米国のテクノロジー企業Kaseya（カセヤ）を標的とした攻撃など、過去12カ月間で最も被害が大きかった攻撃のいくつかを指揮したとみられている。

関連記事：ランサムウェア犯罪組織「REvil」、そのデータリークブログが乗っ取られて再び姿を消す

FSBは、4億2600万ルーブル（約6億4000万円）超と50万ユーロ（約6500万円）、60万ドル（約6800万円）の現金、暗号資産ウォレット、コンピューター、高級車20台を押収したと発表した。

FSBは声明で、米当局の要請を受けて捜査を行い、その結果は通知された、と述べている。

拘束されたランサムウェアのメンバーは「支払手段の違法な流通」の疑いでロシアの法律に基づいて起訴された。ロシア当局は、容疑者の名前を公表していない。

「FSBとロシア内務省による共同捜査の結果、組織的な犯罪コミュニティは存在しなくなり、犯罪目的に使用されていた情報インフラは無力化された」とFSBは声明で説明している。

今回のサプライズの摘発のニュースは、7月の米国のテクノロジー企業Kaseyaに対するランサムウェア攻撃を指揮したとして、米司法省がランサムウェア集団REvilにつながる22歳のウクライナ人を起訴してからちょうど2カ月後に発表された。また、欧州警察機構（Europol）が調整役を担った作戦により、2021年には他に7人のREvilメンバーも逮捕された。7月にはバイデン大統領がロシアに追従するよう促し、ロシアのVladimir Putin（ウラジーミル・プーチン）大統領にこれらの犯罪組織を崩壊させるための行動をとるよう圧力をかけた。

FSBがとった行動は、1月14日にウクライナの外務省、国家安全保障・防衛評議会、政府閣僚のウェブサイトを含む政府ウェブサイトが大規模なサイバー攻撃でダウンしたわずか数時間後に行われたものでもある。当局者は、結論を出すのは時期尚早だとしながらも、ロシアによるウクライナに対するサイバー攻撃の「長い記録」を指摘した。

画像クレジット：FSB / public

［原文へ］

（文：Carly Page、翻訳：Nariko Mizoguchi）

ブロックチェーン分析会社Chainalysisの報告書によると、北朝鮮のハッカーたちは2021年、暗号資産プラットフォームに少なくとも7件の攻撃を仕掛け、約4億ドル（約455億円）相当のデジタル資産を盗み取っていたという。

「2020年から2021年にかけ、北朝鮮が関係したハッキングは4件から7件に急増し、抜き取った総額は40％増えた」と報告書は述べている。

これらの攻撃は、主に投資会社や集中型取引所を標的にしていた。

報告書によると、ハッカーたちは、フィッシング詐欺、脆弱性をつくコード、マルウェア、高度なソーシャルエンジニアリングなどの複雑な手法を駆使して、インターネットに接続された標的組織の「ホットウォレット」から資産を抜き出し、北朝鮮が管理するアドレスに移していた。

「北朝鮮はいったん資産を握ると、それを隠ぺいして現金化するための慎重なロンダリング（資金洗浄）プロセスを開始した」と報告書は説明している。

2021年に標的となった資金は、イーサリアムが58％、ビットコインが20％を占め、残りの22％はERC-20トークンやアルトコインからだった。

また同報告書は、国連安保理の報告を引用して、北朝鮮はハッキングにより盗み出した資金を使い大量破壊兵器（WMD）や弾道ミサイル関連の開発計画を進めているとしている。

分析レポートによると「Lazarus Group（ラザラス・グループ）」と呼ばれるハッカー集団による攻撃だった可能性が高いとのこと。同グループは、北朝鮮の主要な情報機関、朝鮮人民軍偵察総局（RGB）に所属するとみられている。Lazarus Groupは、これまでにもランサムウェア「WannaCry（ワナクライ）」を使った攻撃や、Sony Pictures Entertainment （ソニー・ピクチャーズエンタテインメント）へのサイバー攻撃に関わった疑いがもたれている。

北朝鮮が盗んだ資金の65％以上は、ミキサー（何千ものアドレスからデジタル資産をプールしてスクランブルをかけるソフトウェアツール）を使ってロンダリングされたという。

また、北朝鮮は、2017年から2021年までの49件のハッキングで得た、1億7000万ドル（約194億円）相当とみられるロンダリングされていない暗号資産も保有している。

「ハッカーたちがなぜこれらの資金を放置しているのかは不明ですが、事件に対する法執行機関の関心が薄れ、監視されずに現金化できるようになることを期待しているのかもしれません。理由が何であれ、北朝鮮がこれらの資金を保有している期間の長さは興味深い点です。自暴自棄で性急な行動ではなく、慎重な計画であることを示唆しているからです」と報告書は述べている。

画像クレジット：RobertAx / Getty Images

［原文へ］

（文：Kate Park、翻訳：Aya Nakazato）