ShinyHunters を騙るセクストーション(性的脅迫)メールが横行しています。最近発生したShinyHuntersによる情報漏洩のデータを悪用し、偽造した「Webカメラの録画映像」を公開すると脅した上で、48時間以内に2,000ドル相当のビットコインを支払うよう要求する内容です。
Dictionaries& Encyclopedias
技術的な内容を装ってはいるものの、実際に端末が侵害された証拠やマルウェアの展開、映像が録画された形跡は一切確認されていません。
これらのメールはShinyHuntersになりすまし、被害者の端末に長期間アクセスしていたと主張した上で、メール開封から48時間という厳格な期限を設けて2,000ドル相当のビットコインを要求します。
メール本文では通常、まずAmtrak.comなどのサービスが侵害されたと主張し、その際に得た認証情報や「エクスプロイト」を使って受信者のスマートフォンとパソコンに完全にアクセスしたと説明しています。
受信者に対しては、閲覧履歴や連絡先、さらにはアダルトサイトへのアクセス履歴まで監視・記録したとし、身代金を支払わなければ恥ずかしい映像を家族や同僚、友人にばらまくと脅迫します。
このキャンペーンに一定の信憑性を持たせているのが、著名な情報漏洩事件に起因する、あるいはShinyHuntersと関連付けられている実在のメールアドレスを使用している点です。
BleepingComputerの報道によれば、これらのセクストーションメールで言及されているデータは、Amtrak、Hallmark、ADT、Substack、Betterment、CarGurus、Panera Bread、McGraw Hillといった組織に影響を及ぼしたインシデントに由来することが判明しています。
一部のケースでは、標的となったメールアドレスが教育業界の情報漏洩事件、たとえばCanvas関連の攻撃で漏洩したデータにも含まれていたことが確認されています。この事件を受け、あるカリフォルニア州のコミュニティカレッジは、これらの脅迫メールについて注意喚起を公表しました。
標的の実態を検証した各機関は、該当のメールアドレスが確かにShinyHunters関連の漏洩データセットに含まれていたことを認めた一方、これだけでは利用者の端末が実際に侵害された証拠にはならないと強調しています。
メールは「ShinyHuntersハッキンググループ」を名乗っていますが、これまでの報道からは、同グループ自体ではなく、その名をかたる便乗型の詐欺師がこのキャンペーンを運営しているとみられます。
Malwarebytesによれば、調査担当者がShinyHuntersに問い合わせたところ、同グループはこのセクストーション活動を主導したことも、脅迫メールを送信したことも否定したとのことです。
Malwarebytesの研究者は、脅威アクターがShinyHuntersの恐喝活動に関連するデータ漏洩から取得したメールアドレスを収集し、セクストーション型フィッシングキャンペーンに転用していると指摘しています。
一般的なセクストーション詐欺の要求額と比べて2,000ドルという金額まで引き上げられている点については、詐欺師が厳選された漏洩データから作成したリストにはより高い価値があると考えている可能性が示唆されます。しかし実際には、ShinyHunters自身による恐喝活動が失敗に終わった後に公開された、以前の漏洩データセットをそのままダウンロードして利用している可能性の方が高いとみられます。
Dictionaries& Encyclopedias
ShinyHunters を騙るメールの実態
これらのメールに記載されているビットコインアドレスのうち少なくとも1件をブロックチェーン上で確認したところ、取引履歴は一切ありませんでした。これは、現時点で被害者がこの脅迫を無視していることを示しています。
BleepingComputerとMalwarebytesはいずれも、メールに記載された詳細な筋書きにもかかわらず、詐欺師がマルウェアを展開した証拠や、Webカメラ・マイクへのアクセス、実際の映像撮影を裏付ける技術的証拠は一切ないと強調しています。
「エクスプロイトの設置」や継続的な監視、端末の完全な乗っ取りといった主張は、セクストーション型スパムでよく使われる使い古された手口であり、受信者にパニックを引き起こし、冷静な判断を妨げることを狙って作り込まれています。
BettermentやCanvasのエコシステムなど、上流の情報漏洩事件で影響を受けた金融・教育業界の組織は、過去の漏洩でメールアドレスや使い回されたパスワードが知られているからといって、攻撃者が端末に自由にアクセスできるわけではないと利用者に説明しています。
各組織はこれらのメールを純粋なソーシャルエンジニアリングとみなしており、新たな侵入やゼロデイ攻撃ではなく、一般に入手可能な漏洩データを土台にした恐喝行為だと位置付けています。
MalwarebytesをはじめとするセキュリティITベンダーは明確に警告しています。どれほどカスタマイズされていて技術的に洗練されて見えても、セクストーションメールには返信せず、支払いにも応じず、リンクのクリックや添付ファイルの開封もしないよう呼びかけています。
返信をすればそのメールボックスが実際に監視されていることが詐欺師に伝わり、さらなる嫌がらせを招きかねません。また身代金を支払っても、いわゆる「証拠」が削除される保証はなく、今後の標的化を防げるわけでもありません。
これらのメールに見覚えのあるパスワードやサービス名が記載されている場合、被害者は過去に情報が漏洩した兆候として受け止め、直ちに使い回しているパスワードを変更し、二要素認証を有効化した上で、信頼できるパスワードマネージャーを利用してサービス間でのパスワード使い回しを防ぐことが推奨されます。
Dictionaries& Encyclopedias
基本的な対策を済ませた後は、メールを削除し、スパムまたはフィッシングとして報告することが勧められます。また該当する場合は、MalwarebytesのScam Guardやデジタルフットプリントスキャンサービスなどのツールを活用し、自身の被害範囲をより広く把握した上で、個別の対処方法についてアドバイスを受けることも有効です。
2026年版:AI SOCに求められる機能とは?完全チェックリスト : AI SOC機能チェックリストをダウンロード
翻訳元: https://gbhackers.com/fake-shinyhunters-emails/
