先週、 14 のサイバーギャングが「活動を休止することにした」と主張する、奇妙（かつ不審な）なの発表（ ）があったにもかかわらず、専門家たちは、このグループの中で最も悪名高いギャングの一つに関連するサイバー犯罪活動が依然として続いていることを指摘し、ヘルプデスクの担当者に対し警戒を怠らないよう警告しています。 これらのグループは、人間の善意につけ込む従来の戦術を刷新し、変容させてきました。
「Scattered Spider（）」は、その独創的な混乱で知られる若いハッカーたちによるサイバー犯罪集団であり、少なくとも春頃から、米国および英国のヘルプデスクを標的にして、この動きを主導してきました。 引退するどころか、このグループはまさに勢いに乗っているようで、さまざまな最先端技術を活用した新たなハッキング手法を洗練させ、 のソーシャルエンジニアリング をさらなる高みへと引き上げているようです。
今年は、英国の小売大手マークス＆スペンサーへの電話から始まり、続いてコープ・グループ、そしてハロッズへと続きました。 小売業者に対する一斉摘発が、数週間にわたり英国のニュースの見出しを独占しました。 その後、彼らは米国の保険会社を標的にしました。
これらのハッカーは、 ランサムウェア や といったゼロデイ攻撃 を行うのではなく、従業員になりすまし、信憑性のある話をでっち上げ、ITヘルプデスクのスタッフを説得して パスワードをリセットさせ 、さらに 多要素認証（MFA） を無効化させました。 それにより、攻撃者たちはその組織の全権を手に入れたのです。 さらに、場合によっては、侵入者は単にシステムを暗号化するだけでなく、こっそりとデータを持ち出し、マルウェアを一切必要としない、新たな形の純粋な恐喝脅威を引き起こしました。
この進化した手法は、ますます人気を集めています。 こうしたケースの多くにおいて、攻撃者はディープフェイク音声ツールを使用して、経営幹部やITスタッフ（ヘルプデスク担当者自身も含む）になりすますことで、その詐欺行為に説得力を与えています。 結局のところ、実際のヘルプデスクの担当者は、緊急の電話や偽の身元、そして本物の同僚のように聞こえる（とはいえ、そうではない可能性もある）人々からのパニックに陥ったような懇願に、手こずらざるを得ない状況に追い込まれてしまいます。
「これは、 の古典的なソーシャルエンジニアリング攻撃（）のようなものですが、現代の技術を活用して実行されている点が異なります」と、Health-ISAC（情報共有・分析センター）のCSOであるエロール・ワイス氏は述べています。 「攻撃者は説得力のある話――例えば、誰かがスマートフォンを紛失して多要素認証（MFA）のリセットが必要になったなど――をでっち上げます。そして、ヘルプデスクは親切にしようとした結果、アクセス権を明け渡してしまうことになります。」
ヘルプデスクの地獄へようこそ。
彼らの引退に関する報道は、かなり誇張されています
2022年に結成されて以来、米国と英国出身の の若者や で構成される、主に英語を話す集団「Scattered Spider」は、SIMカード交換詐欺から、精密に標的を絞ったランサムウェアや恐喝攻撃へと急速に進化してきました。 以前は、こうしたグループは、 や といったフィッシングの手口を用いて、無防備な従業員を騙し、マルウェアを起動させるリンクをクリックさせるなど、不適切な行動をとらせていたかもしれません。 現在、彼らは の「ヴィッシング（ボイスフィッシング）」、スミッシング（SMSとフィッシングを組み合わせたもの）、そしてAIツールを組み合わせて、現場の従業員を騙そうとしています。
「攻撃者は説得力のある話――例えば、誰かがスマートフォンを紛失し、多要素認証（MFA）のリセットが必要だといった話――を繰り出し、ヘルプデスクは親切にしようとした結果、アクセス権を漏らしてしまうことになります。」Health-ISAC（情報共有・分析センター）の最高セキュリティ責任者（CSO）、エロール・ワイス氏
その戦術は効果があります。 昨年、「Scattered Spider」というグループだけで、小売、保険、航空各業界の従業員を標的とした、少なくとも6件の影響力の大きいフィッシング詐欺による攻撃キャンペーンに関与していました。 このグループの手口は攻撃的であり、絶えず変化し続けています。
その入り口はごくありふれたものです。 その結果は甚大なものとなる可能性があります。 The Marks & Spencer attack, for example, will cost the retailer an estimated $400 million. Around 6.5 million people had their data stolen in the Co-op attack. また、ハロッズでは、1週間にわたり、衣料品やホームグッズのオンライン注文（ ） を受け付けることができませんでした。 財務的な影響については明らかにされませんでした。 (The UK’s National Crime Agency announced the arrests of four alleged perpetrators of this cyber spree—a 20-year-old woman and three male teens, ages 17 to 19—in July.)
[関連記事：アイデンティティおよびアクセス管理とは何ですか？]
システムに侵入すると、攻撃者はランサムウェアをインストールするか、あるいはこっそりと機密データを盗み出します。 ますます、後者のケースが増えてきています。 暗号化を伴わない恐喝、つまり攻撃者がデータを盗み出し、その情報を公開しない代わりに身代金を要求する手口は、より迅速で、目立たず、かつ収益性が高いものです。 インフラ攻撃を専門とするサイバーセキュリティ企業Dragos社によると、 の報道（ ）によれば、この「純粋なデータ恐喝」という手口が、特にヨーロッパ全域で急速に広がりつつあるとのことです。
ヘルプデスクへの攻撃：次はどの業界が標的になるのでしょうか？
今年、小売企業や保険会社は、特に狙われやすい標的となっています。 しかし、「スキャッタード・スパイダー」にはあるパターンがあります。ある業界を徹底的に攻撃し、その後、次の業界へと移っていくのです。
このグループは、MGMリゾーツ・インターナショナルとシーザーズ・エンターテインメントに対する 2023 件のサイバー攻撃の背後にいると広く見られています。これらの攻撃では、ヴィッシングを用いて企業システムへのアクセス権を取得し、ランサムウェアを展開していました。 当局は、 グループが、この夏に航空会社に対して行われた一連のサイバー攻撃の背後にいると見ています。 このグループは、今月ジャガー・ランドローバーに対して行われた壊滅的なサイバー攻撃について、 が で犯行声明を出した3つのグループのうちの1つです。この攻撃により、世界的な生産停止が発生し、推定で数億ドルの損失が生じたとされています。 また、 の脅威分析 機関であるReliaQuestが最近発表したレポート（ ）によると、の金融サービス およびのテクノロジー分野 が、次の標的となる可能性が高いことが示唆されています。
[関連記事：欧州で最近相次ぐサイバー攻撃を受け、専門家たちはこの（めったに話題に上らない）分野について懸念を強めています]
「特定の業界はリスクが高くなっています」と、EclecticIQのシニア・サイバー脅威インテリジェンス・アナリストであるアルダ・ビュユッカヤ氏は述べています。 「小売業、 医療業界、およびこれらに類する業界は、大規模なヘルプデスク業務や、ペースの速い職場環境、柔軟な本人確認プロセスを抱えていることが多く、攻撃者がこれらを悪用しやすいため、特に脆弱です。」
最新の攻撃手法――ヘルプデスク攻撃の仕組みとは
サイバー犯罪者は、LinkedInやソーシャルメディア、さらにはデータ漏洩情報（盗まれたユーザー名、パスワード、その他の個人情報のデータベース）を精査し、従業員の詳細なプロフィールを作成しています。 その後、彼らはヘルプデスクにフィッシング電話をかけ、多くの場合、出張中の役員を装い、携帯電話やメールにアクセスできなくなったと偽ります。 彼らは、信憑性を感じさせるのにちょうどいい程度の業界用語や切迫感をほどよく織り交ぜています。 中には、同社の実際の電話番号を偽装したり、「vpn-yourcompany-helpdesk.com」のようなフィッシング用ドメインを登録したりする者さえいます。
「ヘルプデスクは、スタッフが問題を迅速に解決できるよう訓練されているため、魅力的な標的であると同時に、攻撃を受けやすい標的でもあります。」EclecticIQのシニア・サイバー脅威インテリジェンス・アナリスト、アルダ・ビュユッカヤ氏
「ヘルプデスクは、スタッフが問題を迅速に解決するよう訓練されているため、魅力的かつ攻撃を受けやすい標的となっています。攻撃者はこの点を悪用し、緊急性があり感情に訴えるような状況を仕立てて、スタッフにプレッシャーをかけ、セキュリティプロトコルを無視させるのです」とビュユッカヤ氏は述べています。 「さらに、ヘルプデスクは、パスワードのリセットや多要素認証といった、高度な権限を必要とする機能へのアクセス権を持っていることが多く、それゆえ重要な管理拠点となっています。」
そのアクセス権が、必ずしも混乱を引き起こすために使われるわけではありません。 ステルス目的で使用されることがますます増えています。
「ヴィッシングは、攻撃者がマルウェアや暗号化を使用することなく、システムに気づかれずにアクセスすることを可能にするため、純粋な恐喝を助長します」とビュユッカヤ氏は述べています。 「その代わりに、彼らは の機密データを から盗み出し、身代金が支払われない限り、その情報を公開すると脅迫しています。」 「この手法は、攻撃者にとってリスクが低く、実行も迅速であり、身代金の要求が行われるまで発見されないことがよくあります。」
ヘルプデスクへの攻撃に対する対応策の策定
では、企業としては、この問題に対してどのような対策を取ればよいのでしょうか？
「[従業員が、何かがおかしい、電話が正当ではない、あるいは理にかなっていないと本当に感じた場合は、何にでも異議を申し立てられるようにする]。」クリストファー・ハドナギー、Social-Engineer社CEO
「セキュリティチームは、常に信頼できる連絡先番号を使って本人へ折り返し電話をかける、電話のみに頼るのではなく多段階認証プロセスを導入する、パスワードのリセットなどの特権の高い操作には秘密のパスフレーズを必須とするなど、即座に対策を講じることができます」とビュユッカヤ氏は述べています。 「また、ウェブカメラを通じて本人確認を行うか、重要な操作を行う際には対面での本人確認を義務付けるべきです。」 また、ソーシャルエンジニアリングのシミュレーションを含むヘルプデスク担当者への定期的な研修や、緊急性やリスクの高い依頼を断るための明確なルールの徹底も、極めて重要な措置です。」
セキュリティコンサルティングおよび研修会社「Social-Engineer」のCEO、クリストファー・ハドナギー氏は、先ごろ開催された のウェビナー（）において、最も効果的な防御策の一つは、ヘルプデスクの従業員に対して注意すべき点について研修を行うことだと述べました。 「知っている声は信用し、聞き慣れない声や訛りのある声には警戒する」といった従来の経験則は、もはや通用しなくなりました。 最新のディープフェイク技術「 」は、非常に説得力のある映像を生成することができ、また「FraudGPT」のようなAIを活用したツールを使えば、どんなアクセントでも現地の話し方に聞こえるようにすることさえ可能だと、同氏は述べました。
[関連記事：ディープフェイク、AIによる偽情報など――定義から最善の防御策まで、偽情報に関する包括的なガイド]
ビュユッカヤ氏によると、その研修の一部として、従業員に対し、次のような「危険信号」について教育を行うべきだとのことです。具体的には、確認手順を省略するようスタッフに圧力をかけるような緊急の依頼、社内システムについて詳細な知識を持っているように見える発信者、裏付けとなる証拠がないままパスワードや多要素認証（MFA）のリセットを要求するケース、不明な番号や偽装された番号からの電話、そして不自然な時間帯や通常とは異なる場所からの問い合わせなどが挙げられます。
ヘルプデスクにおけるもう一つの「裏技」――サポートへの疑念
研修は、エンパワーメントを目的とするものでもあるべきです。
ヘルプデスクの従業員は、「何かがおかしい、その問い合わせが正当ではない、あるいは筋が通っていないと本当に感じた場合」、たとえそれが上司やCEOからの問い合わせであっても、それを疑問視し、対応を打ち切り、報告しても何ら不利益を被ることはないということを知っておく必要がある、とハドナギ氏はウェビナーで述べました。
Hadnagy pointed to a 2024 example in which a Ferrari executive received messages and even a deepfaked phone call from someone posing as CEO Benedetto Vigna. 不審に思ったその幹部は、電話の相手に、ヴィーニャが最近勧めた本を思い出してもらうよう頼みました。 その偽者が答えられなかったため、その企てはたちまち失敗に終わりました。
「そのたった一つの質問が、フェラーリを大規模な情報漏洩から救ったのです」とハドナギ氏は述べました。 「それはなぜですか？ その幹部は、もし実際に本物のCEOに疑問を呈していたとしたら、叱責されたり、叱られたり、恥をかかされたりすることになるだろうという恐れを抱いていなかったからです。 「彼は、電話の向こうのその男に疑問を投げかける力があることを自覚し、そのことが違反行為を食い止めたのです。」
米国および英国の企業向けの政府およびその他の専門家によるガイダンス
英国の諜報・安全保障機関である政府通信本部（GCHQ）傘下の国立サイバーセキュリティセンター（NCSC）も、英国の企業に対し、ヘルプデスクのプロトコルを見直し、セキュリティを強化するよう求める緊急ガイダンス「 」 を発出しました。
米国では、さまざまな業界のISACが、同様に有益な指針を発表しています。 シティグループのサイバーインテリジェンスセンターの設立に携わったワイス氏は、金融セクターの脅威情報共有モデルが、小売業界や医療業界の青写真となり得ると述べています。
「戦略的計画からリアルタイムの運用に至るまで、あらゆるものに脅威インテリジェンスが組み込まれていました」と彼は述べています。 「そのレベルの統合があれば、今後の動向を先取りすることができます。」
生体認証は、本人確認手段として 支持を失いつつあるかもしれませんが、ワイス氏は、この技術には一定の役割があるとの見解を示しています。 「音声認識や行動認証といった技術があり、それらは異常をリアルタイムで検知することができます」と彼は言います。 「Clearのようなソリューションでは、本人確認のために、能動的な生存確認の仕組みが検討されています。」 「それが答えの一部かもしれません。」
[関連記事：EUで新たな分散型サイバー防衛モデルが注目を集めています]
しかし、彼とビュユッカヤは、最も重要な防御策について意見が一致しています。それは「準備」です。
「一度だけトレーニングして、そのまま終わりにしてはいけません」とビュユッカヤ氏は言います。 「練習を行いましょう。 秘密のパスフレーズを必須とします。 そして、いかなる緊急の依頼も「危険信号」であり、手順を省略する口実にはならないことを明確にしておきましょう。」
今日の脅威環境において、 最も大きな脆弱性は、ただ助けようとしているだけの善意の従業員 である可能性があります。
「私たちは企業に対して、常にこう伝えています」とワイス氏は言います。「ヘルプデスクを積極的にテストし、対応マニュアルを更新していなければ、すでに遅れをとっていることになります。」
