タグ: ランサムウェア

米財務省はこのほど、ランサムウェアとの戦いに参戦し、仮想暗号通貨の取引所であるSuexの、ランサムウェアの決済に果たしている役割に、制裁を科すことになった。

暗号通貨取引所に対するこの種の制裁は初めてであり、米国人が同社と取引することが禁じられる。

合衆国政府は今、勃興するランサムウェアに対して幅広い対策を講じているが、制裁はその中でも最新のものだ。そのほかの対策として、複数省庁合同のタスクフォースや、外国の政府が支えているサイバー犯罪に関する情報への1000万ドルの報奨金などがあるが、結果は今のところあまりぱっとしない。まさに今週は、ランサムウェアグループBlackMatterが、アイオワの農場サービスプロバイダーに590万ドルの身代金を要求した。

しかしエキスパートたちによると、財務省のSuexに対するアクションと、犯罪者自身よりも金の流れを追うという一見古めかしい合衆国政府の決定は、大規模なランサムウェア事業者の多くにとって大きな打撃になる。この制裁にランサムウェアを終わらせる効果はないが、ランサムウェアグループが彼らの暗号通貨を現金化する仕組みを解体することは、活動を鈍化させるために必須だ。

Suexの捜査で米政府を手伝ったChanalysisは、この動きを「大きな勝利」と賞し、その取引所を、暗号通貨を用いるマネーロンダリングの最悪の犯行者と呼んでいる。このブロックチェーン分析企業はブログで、SuexはRyukやMazeのようなランサムウェア事業者から、2018年の創業以来1300億ドル近い収益を得ている、と言っている。またChanalysisは、この取引所が暗号詐欺の詐欺師たちから2400万ドルあまりを獲得した、とも言っている。

関連記事: オリンパスがランサムウェア「BlackMatter」の攻撃を受ける, 解散かリブランド？カプコンも襲ったランサムウェア「ラグナロッカー」の攻撃者集団が復号キーを公開, 「黒人のハーバード」と呼ばれる名門ハワード大学がランサムウェア攻撃を受け授業を中止

財務省によると、Suexの取引の40%あまりが犯罪的な行為に関連している。

Chainalysisのグローバル公共部門担当でCTOのGurvais Grigg氏によると、米政府が取引所をターゲットにすることは今後も続くが、彼の分析によると、犯罪に関わっているのはほんのひと握りのサービスだ。

氏は、こう語った: 「当時のうちのデータによると、2020年以来、ランサムウェアの金の全額の82%を、わずか5社のサービスが受け取っている」。

しかしブロックチェーンの科学捜査を行っているCipherBladeのPaul Sibenik氏によると、ほとんど知られていない下請けのようなサービスや店頭ブローカーもいる。そこでは取引が二者間で直接行われ、流動化のためにのみ大手取引所が利用される。たとえばSuexは、大手取引所のインフラストラクチャを利用して取引を扱っている。

Sibenik氏は曰く、「Suexのような悪質な店頭ブローカーを利用すると、犯罪者は取引所の有効なアカウントを持たなくても済む。でも究極的に公正を期して言うなら、取引所もやはりランサムウェアの犯人たちからの取引の、便宜を図っている」。

「取引所には、有効なアカウントで疑わしい取引が行われていることを監視する義務があるが、もっと重要なのは、彼らの取引先である悪質な店頭ブローカーや下請け的サービスが、いずれもコンプライアンスを満たしていることを事前に確認することだ。さもなければ、そこには確実に警察が介入するおそれがあり、違法の可能性もある」。

財務省の最新の制裁と、その今後の増加により、ランサムウェアの犯人たちは戦術を変えざるをえない。一部はすでに、ゆすりの多重化と呼ばれるテクニックへシフトしている。ゆすりの多重化は単純に被害者のファイルを暗号化するだけでなく、元のファイルを盗んで、身代金を払わないとファイルを公開するぞと脅す。

Sibenek氏の所見によると、一部の犯人たちはすでにBitcoinからMoneroに乗り換えている。彼によるとそれは、「いかなる方法を使っても追跡不可能」だそうだ。しかしそれも、今後の規制により、いわゆるプライバシーコインの扱いが取引所において禁じられれば、ランサムウェアのグループにとって現金化が困難になる。

Grigg氏はこう語る: 「暗号通貨は、物やサービスを実際に売買したり、法定通過に換金するときだけ便利なものだ。プライバシーコインでは、それがとても困難になる」。

関連記事: ランサムウェアが企業に与える莫大な金銭的被害は身代金だけじゃない

文:Carly Page、翻訳：Hiroshi Iwatani）
画像クレジット: Bryce Durbin / TechCrunch

[原文へ]

防衛ならびに通信市場向けの大手電子機器メーカーであるCPI（Communications & Power Industries）が、ランサムウェア攻撃を受けて業務に支障が生じている状態に置かれているというニュースをTechCrunchはつかんだ。事件を知る情報筋によれば、CPIは事件直後の1月中旬に約50万ドル（5300万円）の身代金を支払ったものの、業務はまだ完全には復旧していないとのことだ。

米国カリフォルニアに本拠を置くCPIは、レーダー、ミサイルシーカー、そして電子戦技術といった軍事用デバイスおよび機器に向けたコンポーネントを製造している。同社の顧客には、米国国防総省とその最先端研究組織DARPAも名前を連ねている。

同社はランサムウェア攻撃を受けたことを認めた。

「私たちは事件を調査するために、第三者であるフォレンジック調査企業と協力しています。調査は継続中です」と語るのはCPIの広報担当者であるAmanda Mogin（アマンダ・モギン）氏だ。「私たちは弁護士と協力して、法執行機関や政府当局はもちろん、お客様にもタイムリーに通知してきました」。

情報筋によれば、（ネットワーク上で最高レベルの権限を持つユーザーである）ドメイン管理者が、ログイン中に悪意のあるリンクをクリックしたために、ファイル暗号化マルウェアが起動されたのだという。数千台のコンピューターがセグメント化されていないネットワーク上の同じドメイン上にあったために、ランサムウェアはオンサイトのバックアップを含め、すべてのCPIオフィスに急速に広がったのだと情報筋は明かす。

また2月末の時点では、全社のコンピューターの約4分の1だけが、復旧し稼働しているに過ぎないため、同社は「パニックモード」であるとも伝えている。

人員不足が業務を妨げていると情報筋は語る。機密の軍事データを保持していたコンピューターの一部は、同社が身代金を支払って手に入れた復号キーを用いて回復することができた。そのうちの1つのシステムには、ロッキードマーチンが開発したイージス海軍兵器システムに関連するファイルも置かれていたと言われている。

ロッキードの広報担当者は「私たちはCPIの状況を知っていますし、サプライチェーンに関連した潜在的サイバー事故に対する弊社の標準的な対応プロセスに従っています」と説明する。

情報筋は、残りのコンピューターの多くはオペレーティングシステムをゼロからインストールし直していると語る。なおCPIのシステムの一部（約150台のコンピューター）は、いまでもWindows XPを運用している（XPは2014年にセキュリティパッチの配信が終了している）。

しかし、今回の攻撃にどのようなランサムウェアが使用されたかはわかっていない。CPIのスポークスマンは、私たちの質問には一切答えず、簡単な声明以上のコメントを拒否した。同社は、先月大企業を標的として相次いで行われた攻撃の最新の被害者となった。今週だけでも、法律サービスの巨人Epiq Globalがランサムウェアの攻撃によって業務に支障が出ており、またTeslaとSpaceXに部品を供給するVisserが、データを盗むDoppelPaymerと呼ばれる新しい種類のランサムウェアの攻撃に見舞われた。このマルウェアはファイルを暗号化するだけでなく、ハッカーのサーバーへ企業データを流出させるのだ。

DoppelPaymer攻撃を行ったハッカーたちは、会社が身代金を支払わなかったために、先週Visserの 内部ファイルの公開を始めた。セキュリティ会社のEmsisoftで脅威アナリストを務めるBrett Callow（ブレット・キャロウ氏）は、旧来のファイル暗号化ランサムウェアの戦術が変更されてきたと語る。

「これらの事件は、最初の段階から漏洩として考えられるべきであり、そのように開示され報告されるべきなのです」とキャロウ氏は語った。「企業や人びとが何も知らされないうちに、犯罪者たちはデータを悪用するための時間をたっぷりと手に入れつつあるのです」。

画像クレジット: Audrey Connolly (opens in a new window)/ Getty Images

［原文へ］

（翻訳：sako）