サイバー犯罪者たちが、ハッキンググループ「ShinyHunters」に関連するデータ侵害で流出したメールアドレスを悪用し、セクストーションメールの信憑性を高めようとしています。
この攻撃キャンペーンでは、盗まれた個人情報や過去に発生したデータ侵害への言及を利用して受信者に心理的圧力をかけ、ビットコインで2,000ドルの支払いを要求しています。
セクストーション詐欺自体は目新しい手口ではありません。攻撃者は通常、被害者のデバイスをハッキングし、ウェブカメラ経由で撮影したと主張します。同時に、被害者がアダルトサイトを閲覧していたとも主張します。
身代金が支払われなければ、その映像とされるものを友人や家族、同僚に送りつけると脅迫します。こうしたメッセージは、恐怖・羞恥心・切迫感を煽るように設計されています。
今回確認されたキャンペーンでは、詐欺グループが 自らをShinyHuntersと名乗り、侵害されたオンラインサービスを通じて受信者のメールアドレスを入手したと主張しています。
さらに、被害者のデバイスにマルウェアを仕込み、カメラやマイク、キーボード、写真、閲覧履歴、メッセージ、連絡先リストへのアクセス権を得たと主張しています。
しかし、攻撃者が実際に受信者のデバイスを侵害したり撮影したりした証拠はありません。これらの主張は、公開された流出データを利用してもっともらしいストーリーを作り上げる、以前から存在するソーシャルエンジニアリング手法の一環にすぎません。
BleepingComputerによると、このセクストーションメールは、Amtrak、Hallmark、ADT、Substack、Betterment、CarGurus、Panera Bread、McGraw Hillなどの組織から流出したとされるデータセットにメールアドレスが含まれていた人々を標的にしています。
これらのメールでは、被害者のデータが漏洩したとされる具体的な企業名が頻繁に言及されます。
例えば、Amtrak関連のデータセットにメールアドレスが含まれていた受信者には、Amtrakのデータベースが攻撃者にアカウントやデバイスへの初期アクセスを与えたと主張するメッセージが送られる可能性があります。
こうした個人に合わせたカスタマイズにより、このキャンペーンは一般的な迷惑メールよりも説得力を持ちます。被害者は名指しされた組織を認識し、そこにアカウントを持っていたことを思い出し、メールの残りの内容も真実だと思い込んでしまう可能性があります。
カリフォルニア州のあるコミュニティカレッジも、Canvasのデータ侵害の影響を受けた個人を狙った同様のメッセージについて利用者に注意を呼びかけました。同カレッジは、標的となったメールアドレスが、ShinyHuntersによって過去に流出したデータの中に含まれていたことを確認しています。
ShinyHuntersは、このセクストーション活動への関与を否定していると報じられています。これは、過去のデータ侵害後に公開・流通したデータを、別の詐欺グループが再利用していることを示唆しています。
攻撃者はフォーラムやメッセージングチャンネル、ファイル共有プラットフォームから流出データセットをダウンロードし、フィッシングや認証情報を狙った攻撃、なりすまし詐欺、恐喝詐欺に利用することができます。
今回要求されている2,000ドルという金額は、これまでの多くのセクストーションキャンペーンで要求されていた少額のビットコイン支払いよりも高額です。
この金額の増加は、データ侵害に関する具体的な情報を利用することで、被害者からより多くの金銭を引き出そうとする狙いがあるとみられます。
Malwarebytesによると、報告されたメッセージの一つに記載されていたビットコインウォレットを調査したところ、取引履歴は確認されませんでした。これは受信者がこの脅迫要求を無視している可能性を示しています。
たとえメッセージに本人の名前や過去のパスワード、利用したことのある企業名が含まれていたとしても、受信者はこうしたメールを裏付けのない恐喝の試みとして扱うべきです。
メールアドレスが流出しているからといって、犯罪者がデバイスやウェブカメラ、オンラインアカウントにアクセスできるとは限りません。
ANY.RUNを使ってSOC調査の死角をなくし、脅威をより早い段階で封じ込めることで、対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/leak-data-fuels-blackmail/
