ランサムウェアグループ「CRPx0」がダークウェブの恐喝用サイトにHyundai(現代自動車)のトルコ法人を掲載し、同社のシステムから採用・人事に関わる機密データ1.5GBを窃取したと主張しています。
今回の掲載は、同グループが近日中にトルコを拠点とする複数業種の組織を積極的に標的としてきた、一連の攻撃の最新事例にあたります。
CyberWatchによると、流出が主張されているデータセットには、面接時の回答、評価スコア、採用管理記録など、候補者の評価記録が広く含まれているとのことです。
同グループはさらに、候補者試験中に撮影された監督付き試験の写真・動画のほか、管理職クラスの人材を対象とした心理測定テストや性格分析を含む役員評価レポートも保有していると主張しています。
窃取されたとされるその他の資料には、主要ポストに関する評価基準・採点文書、選考記録、そして採用・人事評価に関する社内メールのやり取りも含まれています。
掲載ページでは、Hyundaiの自動車事業部門が標的として明記されており、対象地域はトルコ・イスタンブールとされています。流出データ量は1.5GBと記載され、公開時点で同グループのサイトでは3,143件を超えるユニーク閲覧数が記録されていました。
ページにはカウントダウンタイマーが表示されており、Hyundaiには約4日間の猶予が与えられ、その期限までに対応しなければ、グループはデータセット全体を一般ダウンロード可能な形で公開すると脅迫しています。ページに記載されている交渉窓口には、脅威アクターと直接連絡を取るためのTox IDとセッションIDが含まれています。
CRPx0は2026年半ばに、WindowsおよびmacOSシステムを標的とするマルチプラットフォーム型のマルウェア・ランサムウェア活動として初めて注目を集めました。Linux対応機能の開発も報告されています。
初期の感染経路はソーシャルエンジニアリングの手口に依存しており、偽のOnlyFansアカウント提供を装ったものが確認されています。これは悪意あるZIPファイルの形で配布され、中に含まれるショートカットが、約束されたコンテンツの代わりにマルウェアを展開する仕組みです。
インストールされると、このマルウェアはクリップボードハイジャックによる暗号資産窃取とウォレットのシードフレーズ収集を、暗号化前の大規模なデータ窃取と組み合わせます。これは二重恐喝の典型的な手口です。
このマルウェアによって暗号化されたファイルには「.crpx0」という拡張子が付与され、被害者には「gotcha」という文言のデスクトップ壁紙が表示されるとともに、メール、qTox、Telegramを通じて運営者に連絡するよう求める多言語の身代金要求メモが示されます。
このキャンペーンの出現当初から追跡しているAryaka Threat Research Labsは、Pythonベースの実行フレームワークと持続的なコマンド&コントロール通信によって構築された、高度に組織化・段階化された作戦だと分析しています。
同グループのリークサイトはこれまでにも数十件の被害を主張しており、直近の活動は特にトルコの組織を標的とした活動範囲の拡大を示しています。
今回の流出が実行された場合、監督付き試験の映像や心理測定評価データの流出は、評価結果が採取されたとされる求職者やHyundai幹部の双方にとって、評判面・プライバシー面でのリスクとなる恐れがあります。
今回の事案は、Hyundaiのグローバル事業に相次いで発生してきたサイバーセキュリティ上の問題の一つに位置づけられます。これには、欧州部門を狙った2024年のBlack Basta攻撃や、数百万件の顧客記録に影響した2025年のHyundai AutoEver America侵害が含まれます。
CyberWatchは、CRPx0が暗号資産窃取と機密性の高い人事データの両方に注力している点について、運営者が金銭的資産と評判面での交渉材料の両方をマネタイズしようとしている可能性を示唆していると指摘しています。カウントダウンが終了する前に交渉に応じない被害者に対し、こうした手口が用いられているとみられます。
SOC調査の死角を解消し、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への支障を軽減しましょう。
翻訳元: https://cyberpress.org/crpx0-ransomware-claims-hyundai-turkey-breach/