FBIは、サイバー犯罪者が成人・子どもを問わず、ソーシャルメディアなどのオンラインアカウントを標的にし、性的に露骨な画像や動画を盗み出していると警告しています。
同法執行機関が今週公開した公共広報(PSA)で説明したところによると、攻撃者は盗み出したコンテンツを使って被害者を脅迫したり、犯罪者向けマーケットプレイスで売買しようとしたりする可能性があるということです。
また、被害者の個人情報(氏名、生年月日、メールアドレス、電話番号、ソーシャルメディアのユーザー名など)を他の犯罪者と共有することもあり、これを受け取った犯罪者はセクストーションを通じて被害者にさらなる私的な画像や動画を提供するよう圧力をかけるために悪用します。
セクストーションとは、サイバー犯罪者がハッキングによって盗み出したり、あるいは強要によって入手したりしたヌード画像や動画を公開すると脅す、オンライン恐喝の一種です。場合によっては、露骨なコンテンツをネット上に流出させない、あるいは被害者の家族や友人と共有しないことと引き換えに金銭を要求することもあります。
「性的に露骨なコンテンツが盗まれると、SE(セクスト―ション)実行者はそれを犯罪者向けマーケットプレイスに投稿または売却します。そこには多くの場合、被害者本人が知らないうちに、被害者に関する個人情報も含まれています」とFBIは警告しています。
「その結果、被害者は嫌がらせ、セクストーション、ストーキング、あるいは被害者自身のソーシャルメディアページに盗まれたコンテンツを広告として掲載するといった標的型攻撃を通じて、再被害に遭うケースが少なくありません」
学生アスリートも性的搾取スキームの標的に
同日、FBIと全米大学体育協会(NCAA)は、サイバー犯罪者が同様の性的搾取スキームで学生アスリートのオンラインアカウントを標的にしているとも警告し、コーチ、コンプライアンス担当者、athletic department(体育局)の指導者らに対し、所属する学校やコミュニティ内での注意喚起を呼びかけました。
また、潜在的な被害者に対しては、確認コードの提供やパスワードリセットリンクのクリックを求めるテキストメッセージやメールに返信しないよう呼びかけるとともに、露骨な写真や動画をソーシャルメディアアカウントやインターネット上でアクセス可能なサイトに保存しないよう助言しました。さらに、複雑なパスワードを使用し、可能な限り多要素認証を有効にすることを推奨しています。
「FBIはこうしたスキームに関連するいくつかの兆候を特定しています。例えば、確認コードを提供しなければアカウントが無効化されると主張する不審なテキストメッセージや、パスワードリセット用のリンクが埋め込まれた新規ログイン通知を装った不審なメールなどです」と同機関は述べています。
「FBIは、正規のプラットフォームやサービスがアカウント保有者に対して確認コード、仮パスワード、PINリセットコードを求めることはないとしています。氏名、生年月日など容易に入手可能な個人情報を含まないパスワードやPINを使用することも、被害に遭うリスクを低減するのに役立ちます」
FBIは今回の警告のきっかけとなった具体的な事案については明らかにしていませんが、同局は通常、対応している事案の増加を確認した際に公共広報を発表しています。
ほぼ5年前の2021年9月にも、FBIはセクストーションに関する苦情の大幅な増加について警告し、脅迫を受けた場合は犯罪者とのやり取りを直ちに一切中止し、できるだけ早く法執行機関に連絡するよう助言していました。
セクストーションの実行者は、逮捕・有罪判決を受ければ数十年の禁錮刑に直面する可能性があります。例えば5月には、8年間にわたるセクストーションスキームで、6歳という幼い被害者を含む米国内145人以上の子どもを標的にしたとして、カナダ人の男が禁錮33年の判決を受けています。
攻撃者が有効な認証情報を入手すると、その行動のわずか37%しかブロックされない
全体的な防御スコアだけを見ていると、初期侵入後に何が起きているかが見えなくなってしまいます。攻撃者が有効な認証情報を使い始めると、防御の効果は急激に低下します。
The Blue Report 2026では、顧客の本番環境で実行された3億3,800万件のシミュレーションをもとに、手法ごとに防御力を測定しています。
