9月にUberが ハッキング被害に遭った際、このライドシェア企業のシステムが侵害されたのは決してこれが初めてではありませんでしたし、データ損失の規模という点でも 最も深刻な ものでもありませんでした。 しかし、それはおそらく最も屈辱的な出来事だったのかもしれません。
とりわけ、攻撃者はUberの複数のクラウドプラットフォームに対して完全な管理者権限を取得し、同社の財務データにアクセスしました。 しかし、最近のハッカーの多くとは異なり、彼は単にデータを盗んだり、身代金を要求するためにデータを人質に取ったりするだけではありませんでした。 彼はUberの社内用Slackにログインし、そのことを自慢しました。 彼はその後、そのチャンネルにポルノ画像へのリンクを投稿したほか、同社に対し、ドライバーへの賃上げを要求しました。
その後、この攻撃の証拠として、攻撃者はセキュリティ研究者らに対し、 から、Uberの上級エンジニアから盗んだ認証情報を使用してアクセスしたシステム管理者用コントロールパネルのスクリーンショット を共有し、企業の側に立つホワイトハットハッカー向けのSlackチャンネルに投稿しました。
「おい、お前、Uberに侵入したのか？」 Twitterのスレッドで共有されたとされる会話の中で、ある大手マルウェアアグリゲーターがハッカーにこう述べました。
英国の当局によって容疑者が逮捕されたところ、その人物は17歳の少年であることが判明しました。この少年は、近日発売予定のビデオゲーム『 Grand Theft Auto 6』（）のソースコードを入手した疑いも持たれています。 オックスフォードシャー出身のこの10代の少年は、悪名高い恐喝グループ「Lapsus$」のメンバーであると考えられています。同グループのメンバーの年齢は 16 歳から21 歳まで幅広く、マイクロソフト、NVIDIA、Oktaなどを被害者として挙げています。 The Cyber Safety Review Board, a public-private arm of the U.S. Department of Homeland Security, announced earlier this month that it plans to issue actionable recommendations, like it did for the first time in 2022 with the Log4j attacks, for how organizations can protect themselves from the devious strategies of Lapsus$–style hacks.
過重労働でリソース不足に悩むCISOにとって、運転免許を取得できるかどうかの年齢の若者によるハッキングは、懸念すべき新たな脅威をさらに一つ加えることになります。それは、利益を得るためだけでなく（かつての「Lulz」ハッカー集団のように）、友人たちに自慢するために攻撃を行う新世代の悪意ある攻撃者たちであり、その標的や攻撃経路を予測することは、より困難になる可能性があります。
新しい犬、古い手口
もしこの話がどこか見覚えがあるように感じられるなら、それにはそれなりの理由があります。
サイバー犯罪が、 数兆ドル規模の 産業となるはるか以前から、ハッキングとは、10代の若者たちが楽しみのために行っていたものでした。自分のサイバースキルを試し、オタクとしての実力を証明したり、友達にいたずらをしたりするためでした。
「」 10代の若者たちは、昔から「してはいけないこと」に手を出したがるものです。 そして、彼らは圧倒的な好奇心と、無敵感の両方を兼ね備えている傾向があります。”クリス・プリウィット氏、 Inversion6社 CTO／CISO
1982 年、実環境に初めて出回ったマルウェアは「Elk Cloner」と呼ばれていました。 このウイルスは、その年に という15歳の少年、リッチ・スクレンタ（Rich Skrenta）によって作成され、彼はフロッピーディスクを通じてそのコードを拡散させました。 Apple IIの画面に詩を表示するもので、まったく無害なものでした。
ハッカーが意図的にデータを盗むためのマルウェアを作成するまでには、ほぼ20年を要し、さらに最初の「 」ランサムウェア が開発されるまでには、さらに6年ほどかかりました。
サイバーセキュリティ・リスク管理サービスを提供する Inversion6社のCTO兼CISOであるクリス・プリウィット氏は、事態は一巡したように見えると指摘しています。 多くのCISOと同様、プレウィット氏も幼い頃からハッキングに親しみ、「ウォーダイヤラー」を使って地域の電話番号をすべてスキャンし、標的とするモデムを特定していました。
「10代の若者たちは、昔からやってはいけないことに関心を寄せてきたものです」とプリウィット氏は言います。 「そして、彼らは圧倒的な好奇心と、無敵であるかのような感覚の両方を兼ね備えている傾向があります。」
[関連記事：10代のハッカーについて報道する前に、ジャーナリストのダン・タイナン氏は、「ヴィッシング」という、警戒心のない従業員を騙して機密情報を漏洩させる悪質な手口の世界を深く掘り下げました]
当時と現在との主な違いは何でしょうか？ ソーシャルメディア、特にYouTubeやTikTokです。 プレウィット氏は、かつては、ハッカーたちは、ハッキングを専門とする掲示板やインターネット・リレー・チャット（IRC）のグループ内で、同業者たちの間で有名になることがあったと指摘しています。 今や、その観客は世界そのものです。
TikTokで「uber hacker」と検索すると、合計で数百万回再生されている動画が 5,000 本以上ヒットします。 （プリウィット氏によると、オンライン動画は、ハッカー志望者にとって豊富なチュートリアルの情報源にもなっています。）
「異なる点は、こうした『目立ちたがり屋のハッキング』によって、個人がどれほどの注目を集めるかという点です」と、セキュリティ研修プラットフォーム「Cybrary」の脅威インテリジェンス担当シニアディレクター、デビッド・メイナー氏は付け加えます。 「10年前、あるいは 20 年前であれば、ごく一部のニッチなコミュニティが注目した程度だったかもしれませんが、今では世界中に届く24時間体制のニュースサイクルの一部となっています。」 「自分の実力を証明したいと考えているハッカーにとって、これ以上の舞台はありません。」
愛のためか、それともお金のためか？
「若者たちが、単に楽しみや名声のためにハッキングに戻ってきた」という考え方は、実に清々しいものだと、 のサム・カリー氏（）は述べています。同氏は23歳の独立系セキュリティ研究者で、高校在学中（ ）に のバグ報奨金プログラム（ ）に参加してソフトウェアの不具合を発見することからキャリアをスタートさせました（）。
カレー氏は、メッセージアプリ「Telegram」を通じて、通称「TeaPot」と呼ばれるUberのハッカーと連絡を取り、攻撃の詳細を確認しました。
「おい、Uberをハッキングしたのか？」主要なマルウェア集約サイト
「セキュリティ関連の仕事は、自分が重要だと感じたり、自尊心を高めたりするのに、実に簡単な方法なんです」と、カリー氏は述べています。 「もしこの人物がLapsus$の一員であるなら、すでに数百万ドルにアクセスできる立場にあることになります。」 「彼は正直なところ、お金を稼ぐことに飽きてしまって、ただ楽しみたいだけなのかもしれません。」
TeaPotは、Uberの契約業者から盗んだログイン認証情報を使用し、同社の 多要素認証 のプロセスにおける脆弱性を突きました。具体的には、契約業者にアクセス承認を求める連絡を繰り返し送り続け、最終的に相手が承諾するまで粘り強く働きかけたのです。 そこから、彼はなんとか ネットワーク内を横方向に移動し 、その過程で複数のシステムにアクセスしました。
[関連記事：一部のハッカーは単に「ping」を送るだけでは済ませません――「ビジネスメール詐欺」は、あなたの受信トレイのすぐそばにある、利益率の高い詐欺手口です]
指紋認証によるユーザー認証を行う指輪を開発しているToken社のCEO、ジョン・ガン氏は、「MFA疲れ」は深刻な問題だと述べています。 ガン氏によると、ユーザーが複数のプラットフォームにアクセスできるシングルサインオンシステムへのハッキングを阻止する有効な方法として、生体認証など、遠隔から攻撃できない認証方式を採用することが挙げられます。
Z世代のハッカーに対する防御策を講じる
若いハッカーと年配のハッカーの違いの一つとして、若い世代の方がはるかに時間的余裕がある傾向にあると、ガン氏は付け加えています。 彼らは、侵入する方法を見つけるために、4か月から6か月かけてさまざまな手法を試してみるつもりかもしれません。 そうでなければ、彼らは特にユニークなことをしているわけではありません。
「ハッカーに対処する最善の方法は、彼らに仕事をさせることです。」Cybraryの脅威インテリジェンス担当シニアディレクター、デビッド・メイナー氏
10代のハッカーから身を守るための対策は、プロのサイバー犯罪者や国家主体の攻撃者から身を守るために用いられる対策と同じです。つまり、適切な サイバー衛生管理です。
CISOはすべてを均等に保護することはできないため、リスクの優先順位をつけ、事業運営にとって最も重要なデータやシステムを特定し、そこにリソースを集中させる必要がある、とプレウィット氏は付け加えています。
[関連記事：組織の「至宝」とも言えるデータを保護するための 5 のステップ]
「リスクの観点から見て、どのような事業を営んでいらっしゃいますか？」 と彼は言います。 「どのような敵があなたを攻撃しようとするでしょうか？」 私の経験上、CISOがセキュリティ技術をうまく管理できていないというわけではなく、ビジネスを十分に理解していないため、それをどう守ればよいのかが分かっていないのです。」
プレウィット氏によると、 のゼロトラスト フレームワークを導入することで、攻撃者が一度アクセス権を獲得した後、横方向への移動を困難にすることもできるとのことです。 これにより、攻撃対象範囲を縮小し、被害を大幅に抑えることができます。
若い攻撃者への対処法として、他にも何かあるでしょうか？ 「彼らを採用すべきです」と、サイブラリーのメイナー氏は述べています。
「ハッカーに対処する最善の方法は、彼らに仕事をさせることだと、私は心から信じています」と彼は言います。 「CISOの皆さんは、ハッカーが重大な犯罪を犯していなければ、その人物は理想的なインターンや新入社員になり得るということを知っておくべきです。」
