報道によると、9月にハッカーたちがラスベガスの大手カジノ数軒のコンピュータシステムに侵入するために必要だったのは、わずか10分間の非常に説得力のある電話一本だけだったとのことです。 しかし、これは、企業が抱えるサイバーセキュリティ体制の脆弱な「人的な弱点」を悪用し、壊滅的なランサムウェア攻撃を仕掛けた手法の一つに過ぎません。
詐欺師たちは当初、MGMリゾーツやシーザーズ・エンターテインメント、その他のカジノネットワークに侵入しましたが、その手口は古くからある手口の一つでした。すなわち、ITヘルプデスクのスタッフに対し、自分たちはログイン情報を紛失した社員であり、新しいログイン情報が必要だと信じ込ませたのです。
この事件は、ラスベガス・ストリップにある巨大な施設が関与していたこと、そして莫大な金額が絡んでいたことから、数週間にわたってニュースの見出しを飾りました。 For instance, The Wall Street Journal reported Caesars paid an estimated $15 million ransom to regain control of its systems. MGM, meantime, rejected a payout and instead swallowed more than $100 million in operating losses during the time some slot machines, sports-betting kiosks, digital hotel room keys, online reservations, and credit-card systems were inactive.
確かに、それはとてもセクシーなものです。 しかし、この攻撃に関する報道の中では、あるより不気味な事実がほとんど埋もれてしまっています。それは、ある大手ランサムウェア・アズ・ア・サービス（RaaS）グループが、これらの攻撃を実行するために必要なあらゆるツールを、代理人に提供していた可能性が高いということです。
実際、ALPHV（別名BlackCat）と呼ばれるRaaSギャングが、「Scattered Spider」または「 UNC3944」と呼ばれるハッキング作戦を支援し、戦利品の一部と引き換えにカジノから金をゆすり取ろうとしたと報じられています。 RaaS（「ラス」と発音します）は、一般的に次のような仕組みで機能します。犯罪者たちは、 の「Everything-as-a-Service（XaaS）」 モデルを活用し、ダークウェブ上で、月額定額料金または利益の一部を対価として、使いやすいハッキングツールやサービスを提供しています。
IDおよびアクセス管理企業であるOktaのCISO、デビッド・ブラッドベリー氏によると、このような手口は、こうしたサイバー犯罪者にとって典型的なものだという。 「彼らを、むしろビジネスパートナーや提携先として捉えてください」と、ブラッドベリー氏はロイター通信に語りました。
少なくとも 2016年から運用されている、 ランサムウェア（ ）のこのビジネスモデルは、ウォートン・スクールの教授も誇りに思うほどの緻密さとオーダーメイドのサービス（一部のRaaSパッケージには、カスタマーサービス、レビュー、機能アップデート、割引などが含まれています）をもって事業を展開するサイバー犯罪組織によって採用されています。 その結果、RaaSは驚くほど収益性の高いビジネスとなりました。
被害を拡大させる――「ランサムウェア・アズ・ア・サービス（RaaS）」とは何か、そしてなぜこれほど効果的なのでしょうか？
のゼロトラスト プラットフォームであるZscalerが発表した「」レポート（ ）によると、こうした不正な取り決めは急増しただけでなく、昨年における世界的なランサムウェア攻撃件数が40％近く増加した要因として重要な役割を果たしていたことが判明しました。
「サイバー犯罪を企てる者たちは、RaaSを利用して、自分たちだけでは実行できないような攻撃を仕掛けています。」ZscalerのグローバルCISO兼セキュリティリサーチ責任者、ディープン・デサイ氏
「サイバー犯罪を企てる者たちは、RaaSを利用して、自分たちだけでは実行できないような攻撃を仕掛けています」と、ZscalerのグローバルCISO兼セキュリティリサーチ責任者であるディーペン・デサイ氏は述べました。 「ランサムウェアグループの圧倒的多数がRaaSを採用しており、その有効性が実証されていることから、攻撃件数は年々増加しています。」
BlackCatは、最大かつ最も悪質なRaaSギャングの一つと見なされていますが、そのメンバーの多くは の10代 、あるいは20sの初期のZ世代であると考えられています。 しかし、近年では他にも、以下のような有名選手が所属チームに悪影響を与えてきました：
- BlackBasta（）は、昨年6月にBankCard USAに対して行われた多額の損害をもたらしたランサムウェア攻撃の背後にいたとみられています。
- Clop, the ransomware gang that recently took advantage of MOVEit file transfer software vulnerabilities to launch attacks affecting more than 40 million people and at least 600 public and private organizations
- Karakurt は、悪名高いContiギャングの分派であり、この1年間、 の医療機関 を標的にし、患者の機密記録を公開すると脅迫してきました。
- LockBit, which the U.S. government says has extorted roughly $91 million from U.S. businesses since 2020. 現在、世界最大級の再販業者であるCDWに対し、身代金を要求しています。
RaaSギャングは長い間活動してきたため、最も悪名高いグループの多くはすでに排除されています。 In January, for example, the Hive RaaS group, which allegedly stole more than $100 million from 1,500 victims in 80 countries between 2021 and 2023, was infiltrated and taken down by FBI agents. また昨年、米国当局が、東海岸でガソリンの買い占め騒ぎを引き起こしたコロニアル・パイプラインへの攻撃を実行したと指摘した、活発に活動している犯罪組織「REvil」のメンバーが、ロシアで逮捕されました。
[関連記事：CTIまとめ – FBIとCISAが「Snatch RaaS」に関する共同勧告を発表]
しかし、こうした摘発にもかかわらず、RaaSに関連する犯罪活動は拡大を続けており、 教育、建設 、政府、 医療、メディア、小売 、エネルギー、 運輸、 金融サービス などの業界における組織のITシステムに悪影響を及ぼす恐れがあります。 そのため、業界の専門家たちは、この状況がすぐには解消されないため、警戒を怠らず、予防策を講じ、状況に応じて対応していくことが重要だと述べています。
「私としては、これは悪意のある攻撃者による、またしても代表的な手口の一つだと思います」と、サイバーセキュリティ啓発トレーニングのコンサルティング会社「Cybermaniacs」のCEO、キャサリン・ゴールドマン氏は述べました。 「それが続くのか、それとも変化するのか、私にはわかりません。」 「しかし、状況は確かに悪化しているようですし、私たちはそれに対応しなければなりません。」
避けられない事態に備えて――「サービス型ランサムウェア（RaaS）」に対抗するため、従業員への研修（および再研修）を実施しましょう
ゴールドマン氏は、ラスベガスのホテル・カジノと同じような運命をたどらないよう、まず従業員に問題意識を持たせることを目的とした文化の変革から始めることを提案しています。 つい昨日、マイクロソフトは、ヘルプデスク担当者や技術管理者を標的とする、英語を母国語とするサイバー犯罪集団に関する脅威インテリジェンスレポート「 」 を公開しました。この集団は、方言や話し方の癖に至るまで驚くほど正確に新入社員を装い、セキュリティ担当者を説得してパスワードや 多要素認証（MFA） の設定をリセットさせています。
従業員は、世界中のすべてのRaaSギャングを暗記したり、あるいはその存在さえ知ったりする必要はありません。とりわけ、その構成員は絶えず入れ替わっているからです。 ゴールドマン氏によると、より効果的な対策は、最近の攻撃者が、人々の心理や感情を利用して、リンクをクリックさせたり、電話で情報を提供させたりするなど、行動を誘導する手口について、人々に理解を深めてもらうことだそうです。 このようなソーシャルエンジニアリングの手法により、RaaS攻撃者はネットワークに侵入し、その資産を奪取したり、身代金を要求するためにネットワークをロックダウンしたりすることが可能になります。
「目指すべきは、組織の全従業員を、組織のために迅速に対応できる防衛担当者へと育成することです。」キャサリン・ゴールドマン、サイバーマニアックス社CEO
「目指すべきは、組織の全従業員を に引き上げ、組織にとって の迅速に対応できる防衛担当者にすることです」とゴールドマン氏は述べています。 「RaaSの場合、ランサムウェア攻撃は瞬く間に発生するため、リスクの技術的な側面を重視するよりも、対応に備えるという心構えを改めることが重要です。」
つまり、時間をかけて、 従業員に対し、 フィッシングメール やボイスフィッシングの電話 を見分け、報告する方法について研修を行い、定期的なセキュリティスキルの評価を策定・実施する必要があります。
[関連記事：ハッカーの標的になったとき、自分一人で対処できると思いますか？ 【当社のライターが「ヴィッシング」の電話の被害に遭った時の経緯は以下の通りです】
ここで重要なのは「定期的」という言葉です。トレーニングやテストは、一度行えば済むような作業ではなく、企業全体（つまり、事務部門から役員室に至るまで）にわたる業務であり、年1回または半年に1回のペースで繰り返されるものです。
デジタルセキュリティ対策――「サービス型ランサムウェア（RaaS）」のリスクを軽減するためのヒント
デサイ氏によると、文化の変革や研修に加え、RaaSを利用したサイバー攻撃の防止に取り組む組織は、役割ベースのアクセス制御（RBAC）を厳格に管理すべきだといいます。RBACとは、職務に応じてネットワーク上で何がアクセス可能で何が不可能かを決定する、いわばデジタル上のガードレールのようなものです。 同時に、同氏は、企業がトランスポート層セキュリティ（TLS）を継続的に点検すべきだと述べています。TLSは、送信するデータを暗号化し、第三者の目から守るためのものです。
さらに同氏は、セキュリティを強化し、攻撃対象領域を限定するために、個々のユーザーと特定のアプリ間のアクセスを制御する「ユーザー対アプリケーションのセグメンテーション（ ）」の導入を優先することも重要であると付け加えています。
「これにより、 による横方向の脅威の移動（ ）が、貴社の最重要アプリケーションに到達するのを阻止し、影響範囲を封じ込める効果的な手段となります。」
[関連記事：組織の「至宝」とも言えるデータを保護するための 5 のステップ]
デサイ氏によると、もう1つのポイントとして、サイバーセキュリティチームがすべての暗号化されたトラフィックを検査できるようにしておくことが挙げられます。 攻撃の 85％以上が暗号化された通信経路を利用しており、それらは多くの場合、検査されていないと彼は述べています。 これにより、ある程度の技術力を持つ攻撃者であっても、セキュリティ対策を容易に回避し、データを盗み出すことが可能になります。
次に、ユーザーがどこにいても適用される一貫したセキュリティポリシーを維持し、徹底することが不可欠であると、デサイ氏は述べています。 これには、インライン脅威検査（セキュリティデバイスやゲートウェイを通過するネットワークトラフィックをリアルタイムで検査し、悪意のあるコンテンツやセキュリティリスクを検知する技術）、サンドボックス化（信頼できない、あるいは脅威となる可能性のあるプログラムを「デジタルバブル」内に隔離する技術）、強力な FIDOベースの MFA、および定期的なセキュリティ更新などが含まれます。
リモートワークの普及に伴い、クラウド上の重要なファイルやアプリケーションに頻繁にアクセスする分散型ワークフォースを支える上で、これらのセキュリティ対策は極めて重要です。
[関連記事：企業がクラウドへの移行を急ぐ中、多くの企業がマルチクラウド環境における資産の保護に失敗しています――ハッカーの一歩先を行く方法をご紹介します]
最後に、ゴールドマン氏は、サイバー攻撃に対して最も脆弱な組織の領域を特定し、各部門での情報漏洩が組織全体にどのような影響を及ぼすかを推定するための監査体制を整えておくことも有用であると述べています。
「CISOがさまざまなシナリオを把握する一つの方法は、その潜在的な影響を測定し、リスクがどれほどの規模になるかを事前に把握して、適切な視点で捉えることです」と彼女は述べています。 「攻撃への対応にあたっては、的を絞った、状況に応じたアプローチを取る必要があり、それを実現できるのはデータがある場合に限られます。」
