ブラックストーンやCMEなど大手ウォール街企業を狙う電話詐欺型ハッキング攻撃

電話を起点とするデータ窃取型の恐喝キャンペーンが、この1か月間に米国の大手金融企業数十社を標的にしていたことが分かりました。

Reutersが確認したGoogleおよびインターネット情報プラットフォームのデータによると、金銭を要求するハッカーたちが、電話による社会的工学(ソーシャルエンジニアリング)を多用する手口で、米国の大手金融機関をはじめとする数十社の企業を標的にしていたことが明らかになりました。

標的となったのは、ブラックストーン(Blackstone)、ブリッジウォーター・アソシエイツ(Bridgewater Associates)、アポロ・グローバル・マネジメント(Apollo Global Management)、ベイン・キャピタル(Bain Capital)、KKR、TPG、CMEグループ(CME Group)、クリアレイク・キャピタル(Clearlake Capital)、ムーディーズ(Moody’s)といったプライベートエクイティ企業や金融関連企業です。Reutersはさらに、ツー・シグマ・インベストメンツ(Two Sigma Investments)やシタデル(Citadel)などのヘッジファンドも標的にされようとした形跡を確認しています。

Googleによると、攻撃者はRedact、Pink、Falcon、Helixといった複数の恐喝ブランドを使い分けて活動していたとのことです。これらのグループ間の正確な関係性は依然として不明ですが、Googleの脅威アナリストであるオースティン・ラーセン(Austin Larsen)氏は、各グループがインフラを共有しているとみられると述べています。

Googleは、実際に侵害された企業名までは明らかにしていません。同社の調査によると、身元を明かしていない一部の組織が身代金を支払ったとされています。

攻撃は一本の電話から始まった

今回のキャンペーンは、高度なサイバーセキュリティシステムを導入していても、基本的なソーシャルエンジニアリングによって突破され得ることを改めて示しています。

Googleによると、攻撃者は社内ヘルプデスクの担当者になりすまして従業員個人の携帯電話に電話をかけていました。中には、正規のヘルプデスクの番号を発信元として表示させるケースもあったといいます。

攻撃者は、パスキーや多要素認証の設定を至急更新する必要があると偽って従業員に説明し、「passkeyhelpdesk」や「secure-passkey」といった名称を含むドメインの偽ログインページへと誘導しました。

被害者がパスワードを入力すると、ハッカーはSMSや認証アプリで発行された認証コードを取得し、通話を続けながらリアルタイムでアカウントを乗っ取っていました。

「『高度』という言葉は正確ではありません」と、ラーセン氏はReutersに語っています。「ただ、非常に効果的な手口なのです」

標的となった企業は200社以上

今回のキャンペーンの対象は、ウォール街の企業にとどまらない広がりを見せていました。Reutersが72件の悪質なウェブサイトを調査したところ、企業ごとに個別のサブドメインが確認され、Googleの調査および関連データからも、5週間の期間中に200社を超える組織を狙ったフィッシング用インフラが明らかになりました。

このデータには、Uber、Zillow、Levi Straussのほか、法律事務所のPaul HastingsやGreenberg Traurigの名前も含まれていました。

Greenberg Traurigは、「クライアントおよび当事務所のデータを保護するために講じている複数のセキュリティ対策により、データ侵害は発生していない」と説明しています。

「人」という層が重要な理由

今回のキャンペーンは、サイバーセキュリティへの投資をどれだけ増やしても、従業員が操られることで生じるリスクは消えないことを改めて示しています。企業が強固な認証システムやエンドポイント保護といった技術的対策を導入していても、攻撃者はそれを操作する「人」そのものを狙えばよいだけなのです。

金融企業にとって、そのリスクは認証情報の窃取にとどまりません。アカウントの乗っ取りが起きれば、犯罪者は企業の機密情報にアクセスできるようになり、それが恐喝の材料に使われる可能性もあります。

実務上の教訓として、企業はフィッシングメールと同様に、電話による本人確認のプロセスも重要な脅威として扱う必要があります。従業員に対しては、発信者番号や通話中に伝えられる緊急性、指示内容をそのまま信用するのではなく、予期しないIT関連の依頼については独自に真偽を確認するよう教育すべきです。

あわせて読みたい: 攻撃者が信頼された身元情報をどのように悪用するかを示す別の事例として、 暗号資産詐欺の宣伝のためにSpaceXとStarlinkのXアカウントが乗っ取られたとされる事件についての記事もご覧ください。