脅威アクターが、ShinyHunters恐喝グループによって流出したデータ漏洩で露呈したメールアドレスを悪用し、ビットコインで2,000ドルを要求するセクストーション（性的脅迫）メールを送りつけています。
これらのメールはShinyHuntersを名乗り、侵害された企業データベースからメールアドレスを入手した後、受信者のデバイスをハッキングしたと主張しています。
しかし実際には、これらのメッセージは恐喝グループ自身ではなく、ShinyHuntersが過去に流出させたデータをダウンロードした何者かが、脅迫をより本物らしく見せるために流出済みのメールアドレスを利用して送信しているとみられます。
BleepingComputerは、このセクストーション詐欺キャンペーンにおいて、Amtrak、Hallmark、Substack、Betterment、CarGurus、ADT、Panera Bread、McGraw Hillの各侵害事案で流出したデータが使われていることを確認しました。
一部の受信者については、セクストーションメールの標的となったメールアドレスが、実際にShinyHuntersが過去に流出させた関連データに含まれていたことをBleepingComputerが確認しています。
恐喝グループはしばしば、支払いを拒否すれば盗んだデータの公開後に顧客や従業員がさらなる被害に遭うと被害者に警告します。こうした主張は組織に支払いを迫るためのものですが、今回のキャンペーンは、流出したデータが後になって無関係の脅威アクターによって悪用され得ることを浮き彫りにしています。
受信者の流出済みメールアドレスを使うことでこれらのメールはより説得力があるように見えるかもしれませんが、送信者が実際に受信者のデバイスを侵害したり、マルウェアをインストールしたり、カメラにアクセスしたり、アダルトサイトでの行動を監視したりしたという証拠は一切ありません。
BleepingComputerはShinyHunters恐喝グループに問い合わせましたが、同グループはこのセクストーションメールキャンペーンへの関与を否定しています。
偽のShinyHuntersセクストーションメール
BleepingComputerが確認したメールは、「ShinyHunters」や「You’ve Been HACKED」という名前を使ったランダムなメールアドレスから送信されており、件名は「Information about your online security（あなたのオンラインセキュリティについて）」となっています。
メッセージはShinyHuntersハッキンググループを名乗り、数か月前に攻撃者が受信者のデバイスへのアクセス権を得たと主張しています。
送信者はその後、ShinyHuntersが過去にデータを公開した企業名を挙げ、その侵害によって受信者のメールアカウントにアクセスできたと主張します。
We are the ShinyHunters hacking group.
A few months ago, we gained access to your devices and started monitoring your online activities.
What happened:
We gained access to the Cargurus.com database where you have an account and easily accessed your email.
You weren’t very careful about the links you opened.
A week later, we installed an exploit on your devices, including your phone, giving us access to your microphone, camera, keyboard, and all your data.
We have your photos, browsing history, conversations, and contact list.
このメールは、攻撃者がその後被害者のパソコンやスマートフォンに「エクスプロイトをインストールした」と偽って主張し、マイク、カメラ、キーボード、写真、閲覧履歴、会話、連絡先リストにアクセスできたとしています。
さらに送信者は、受信者がアダルトサイトを訪問する様子を録画したと主張し、その親密な動画を友人、同僚、家族に共有すると脅迫します。
こうした親密な動画の公開を防ぐためとして、被害者は48時間以内に2,000ドル相当のビットコインを送るよう求められます。
メールはまた、警察に連絡したり、メッセージに返信したり、デバイスをリセットしたりしないよう受信者に警告し、盗んだ情報はリモートサーバーに保管されていると主張しています。
この種のメールは「セクストーション」メールと呼ばれ、友人や家族、職場の同僚との評判が傷つくのではないかという不安を煽り、受信者に金銭を支払わせることを狙ったものです。
しかし、送信者が実際に受信者のデバイスや個人の行動にアクセスしたことを示すものは何もありません。
その代わりに攻撃者は、公開された流出データ漏洩から得たメールアドレスや侵害された企業名といった情報を利用し、セクストーション詐欺があたかも標的を絞ったものであるかのように見せかけています。
こうした詐欺に引っかかる人などいないだろうと思うかもしれませんが、こうした手口は 2018年に初めて登場した際、 1週間で5万ドル以上を稼ぎ出すなど、非常に高い収益を上げていました。
それ以来、詐欺師たちはさまざまなバリエーションの恐喝メール詐欺を生み出してきました。 殺し屋契約を装うもの、 浮気相手の情報を装うもの、 爆破予告、 CIAの捜査を騙るもの、 ランサムウェアの導入を脅すものなどです。
キャンペーンは4月に開始
このセクストーションキャンペーンは4月に始まったとみられ、多数の個人や組織が同様のメッセージを報告したり、受信者に無視するよう呼びかけたりしています。
Bettermentの侵害事案に言及したメールを受け取ったあるユーザーが、Bettermentのredditコミュニティにその内容を投稿しました。
Bettermentは、一部の顧客がハッキンググループを名乗る脅迫メールを受け取っていることを把握していると回答しました。
「これらのメッセージは、受信者を脅かすことを目的とした一般的な恐喝詐欺の一種です」とBettermentは述べています。
「なお、メールアドレスを知っているだけでは、マルウェアをインストールしたり他人のデバイスにアクセスしたりすることはできません」
同社は受信者に対し、返信したり、支払いを送ったり、リンクをクリックしたり、添付ファイルを開いたりせず、メールを削除するよう助言しました。また、Bettermentはこのメッセージとやり取りした顧客に対し、同社の不正対策チームへ連絡するよう呼びかけています。
受信者のメールアドレスがメールで言及された流出データ漏洩の一つに含まれていたとしても、それは送信者が実際にデバイスを侵害したり、動画を録画したり、メッセージに記載されたその他の情報を入手したりしたことを意味するものではありません。
これらのメッセージを受け取った場合、身代金を支払ったり送信者に返信したりしてはいけません。
攻撃者に先んじて、すべての防御層をテストする
セキュリティチームが記録できている攻撃の成功事例はわずか54%、アラートが発せられるのはたった14%にすぎません。残りは検知されないまま環境内を通り抜けています。
Picusのホワイトペーパーでは、侵害・攻撃シミュレーション（Breach and Attack Simulation）がSIEMやEDRのルールをどのようにテストし、脅威が検知をすり抜けるのを防ぐかを紹介しています。
