- Googleの脅威インテリジェンスチームは、BlackFile(現Redact)を大手ヘッジファンドや法律事務所を狙ったフィッシング・恐喝攻撃と結び付けています
- 同グループは電話でIT担当者になりすまし、被害者を偽装ログインページへ誘導してSaaS認証情報やトークンを窃取した後、機密データを持ち出します
- 標的にはブラックストーン、KKR、アポロ、CMEグループ、さらにPaul Hastingsなどの法律事務所が含まれます。Googleは2026年1月から5月にかけて、18個の暗号資産ウォレットに1,070万ドルが流れ込んだことを追跡しています
米国有数のヘッジファンドや法律事務所の一部が、かつてBlackFileと呼ばれていた犯罪グループによる高度なデータ侵害・恐喝キャンペーンの標的になっていたことが、専門家の警告により明らかになりました。
BlackFile(現在はRedactと名乗っています)の手口は比較的シンプルで、ShinyHuntersも用いている手法と同様です。SaaSシステムへのアクセス権を持つ従業員などのターゲットに電話をかけ、IT担当者を名乗り、認証情報や認証トークンを盗み取るために作られた本物そっくりの偽装ログインページへ誘導するというものです。
被害者のアカウントへのアクセス権を得た攻撃者は、Microsoft 365やOktaといった企業のSaaS環境に侵入し、自動化ツールを使って機密データを持ち出します。最終段階では被害者に連絡を取り、身代金を支払わなければダークウェブにデータを流出させると脅迫します。
数百万ドルを窃取
この手口では被害者を偽装ログインページへ誘導する過程があるため、犯罪者は正規のドメイン名と紛らわしいドメイン名を登録することがよくあります。
これは潜在的な被害者が誰であるかを見極める手がかりにもなります。Googleの脅威インテリジェンスグループ(TGIT)チームによる新たなレポートによると、標的となった企業には金融業界の大手企業の名前が並んでいます。ブラックストーン、KKR&Co、アポロ・グローバル・マネジメント、CMEグループなどです。
これらの企業に加えて、Paul Hastings LLPやGreenberg Traurig LLPといった法律事務所も標的として確認されています。ただし、いずれの企業も侵害を受けたことを認めておらず、Greenberg TraurigはReutersに対し、そもそも標的にされたことはないと述べています。
同グループはかなりの勢いで活動を拡大しているようです。4月から5月にかけては2.2日に1つのペースで新たなフィッシングドメインを登録していましたが、6月から7月にかけてはそのペースが1.6日に1つへと上がりました。この戦略は成果を上げているようです。
Googleが同グループに関連付けて追跡している18個の暗号資産ウォレットには、2026年1月から5月中旬にかけて約1,070万ドルが振り込まれていました。
