セキュリティ専門家の間では、今回の摘発によってフィッシング攻撃が一時的に鈍化するとの見方で一致しているものの、その効果がどれだけ続くかは不透明です。
各国の法執行機関が連携した取り締まりにより、大規模なフィッシング・アズ・ア・サービス(PhaaS)集団「Kratos」が使用していたインフラが押収されました。あわせて、インドネシアではKratosの「開発者兼技術管理者」とされる人物(氏名非公表)も逮捕されています。
今回の作戦はドイツの法執行機関が主導し、米国、インドネシアをはじめとする各国の当局が協力しました。
ドイツ側の声明では、Kratosのインフラは「完全に無効化された」とし、「Kratosが支援するフィッシングキャンペーンはもはや実行できない」と主張しています。しかし、サイバーセキュリティのアナリストやコンサルタントの間では、企業を狙うフィッシング活動にどれほどの打撃を与えられるのか、またその効果がどの程度続くのかについて疑問の声が上がっています。
IDCのセキュリティ担当グループ副社長を務めるフランク・ディクソン(Frank Dickson)氏は、「サーバーの押収や海外での逮捕1件で失われるのはインフラであって、知的財産ではありません」と指摘します。「PhaaSキットは日常的に複製され、フォークされ、転売されています。Kratosの顧客1,800人が消えてなくなったわけではありません。彼らはただ、業者の入れ替わりが激しい市場でベンダーを1社失っただけなのです」。
さらに同氏は、「200台超のサーバーを押収し開発者を逮捕したことで、この特定分野における主要な供給元は排除されました。しかし、フィッシングという経済圏全体にはほとんど影響しません。1匹のゴキブリを潰したところで、見えていない100匹が残っているのです」と付け加えました。
Digital 520のプリンシパルコンサルタントを務めるノア・ケニー(Noah Kenney)氏は、さらに悲観的な見方を示し、短期的なフィッシング活動の鈍化すら起こらない可能性があると主張しています。
「今回がボットネットやランサムウェアの摘発と異なるのは、攻撃を実行していた者たちがそもそもこの組織の一員ではなかった点です。Kratosは単なる業者に過ぎませんでした」とケニー氏は語ります。「Kratosを購入した1,800人の顧客は、依然として標的リストや送信インフラ、すでに確立済みのアクセス手段を保持しています。ツール自体は使えなくなりましたが、先週あなたの会社の従業員をフィッシング攻撃していた者たちは今も活動を続けており、すでに存在する代替品を物色しているところです。企業はこれを(おそらく)脅威量の減少と受け取るべきではありません」。
セキュリティコミュニティの間で一致しているのは、Kratosが利益率の高いPhaaS市場における主要プレイヤーだったという点です。もっとも、Kratosは自らのキットを他者にも販売していたため、PhaaS活動全体のうちKratosが占める割合を正確に特定するのは不可能です。セキュリティ研究者の間でも、Kratosのキットを何と呼ぶべきかについて意見が分かれています。
「Microsoftはこのキットを『SneakyLog』として追跡しており、別の研究者は『Sneaky 2FA』と結びつけ、KnowBe4に至ってはその系統関係そのものを否定しています。セキュリティ業界内でキットの呼称すら一致しないのは、名称変更や転売が摘発後に一度きり起こるものではなく、常に継続的に行われているからです」とケニー氏は述べます。「今回本当に変化したのは、逮捕とサーバーの停止です。新たなホスティング環境を立ち上げる作業は週末だけで済みますが、大規模かつ安定的に、しかも検知を回避しながらアドバーサリー・イン・ザ・ミドル型のプロキシを維持する術を熟知した開発者を代わりに見つけるのは、それよりも難しいことです」。
IDCのディクソン氏はさらに、今回の摘発における最大の価値は、押収したサーバーから得られる情報にあると付け加えました。
「Kratosはアドバーサリー・イン・ザ・ミドル型の手口を用いており、本物そっくりの偽Microsoft 365ログインページを生成してセッショントークンを窃取し、MFAを回避していました。これはまさに、この2年間に発生したビジネスメール詐欺(BEC)の多くを支えてきた手口です」と同氏は語ります。「法執行機関が顧客リストをどう活用するのか、ぜひ見てみたいですね。それこそが、何にも代えがたい貴重な情報です」。
とはいえ、Flareのサイバーセキュリティ研究者であるアサフ・モラグ(Assaf Morag)氏は、フィッシング業界におけるKratosの影響力の大きさを踏まえ、今回のドイツによる摘発を「象徴的なもの」と表現しています。
同氏は、ソフトウェアという性質そのものが、意味のある形での完全な撲滅をほぼ不可能にしていると主張します。
「これは悪意あるインフラとはいえ、依然としてソフトウェアであることに変わりはなく、現代の開発・展開手法を用いれば、比較的短期間で再構築や複製が可能です」と同氏は語ります。「需要は競合するプロバイダーへと移行する可能性が高く、今回の作戦が打撃を受けたとしても、エコシステム全体としては回復していくでしょう」。
Malwarebytesのマルウェアインテリジェンス研究者であるピーター・アルンツ(Pieter Arntz)氏も、今回の摘発は大きな打撃ではあるものの、決定的なものではないという見解に同意しています。
「今回は、単なる通常のWebサイト押収以上の意味を持つように見えます。報道によれば、これは集中管理型のインフラ、サブスクリプション形式の顧客基盤、そしてMicrosoft 365のセッション窃取・MFA回避ツールを備えたPhaaSプラットフォームであり、そのバックエンドを摘発したことで、多数の下流のアフィリエイトが同時に打撃を受けた可能性が高いといえます。その意味では、単一のキャンペーンにとどまらず、フィッシングエコシステム全体に対する意味のある打撃といえるでしょう」とアルンツ氏は語ります。
ただし同氏は、「PhaaSの摘発事例における過去のパターンを踏まえると、リブランドや部分的な再興が起こる可能性は十分にあります。中核インフラが失われたとしても、コードや顧客リスト、運営者が培ってきたノウハウは生き残る可能性があるのです」とも付け加えています。
これは、顧客やアフィリエイトが他のフィッシングキットへ乗り換えられることを意味すると同氏は言います。したがって、今回の摘発によってKratos固有の活動は一時的に減少する可能性が高いものの、フィッシング全体としての持続的な減少にはつながらないだろうとしています。
LexisNexis Risk Solutions GroupのCISOを務めるフラビオ・ヴィラヌストレ(Flavio Villanustre)氏も、今回の摘発による影響は短期間にとどまるだろうと結論づけています。
「1つの犯罪組織が解体されるたびに、どこからともなく10の新たな組織が湧いて出てきます。複数の国々による本格的な国際協調が実現しない限り、これはモグラ叩きに過ぎません」と同氏は語ります。「これらはすべて緩やかにつながった個人の集まりであり、まるでヒュドラのように、1つの頭を切り落とすたびに2つの頭が生えてくるのです。彼らの指導部は明確な支配の中枢を持たず、末端の組織から自然発生的に生まれてきます。そのため、こうした犯罪組織を完全に根絶することはほぼ不可能なのです」。
