多国籍エネルギー大手のシェルは、Cl0pランサムウェア集団が同社の機密性の高い企業情報約89GBを窃取したと主張したことを受け、データ侵害の疑いについて調査を進めています。
この脅威アクター集団はシェルをダークウェブ上のリークサイトに追加し、盗み出したとされるデータには設計図面、施設の写真、プロジェクトのロードマップ、試験報告書、その他の社内文書が含まれていると主張しています。
シェルは自社システムが侵害されたことを独自に確認しておらず、このサイバー犯罪集団が公表しているデータの真正性、作成時期、範囲についても検証していません。
シェルは社内のサイバーインシデント対応手順を発動し、セキュリティ専門家と連携して主張内容の精査に当たっていると述べています。シェルの広報担当者は「当社のセキュリティチームおよび関連専門家と協力し、状況の調査を進めています」とコメントしています。
同社は現時点で、製油所の操業、掘削作業、生産ネットワーク、基幹ITサービスへの影響は報告していません。
しかし、システムの暗号化が行われておらず事業運営に影響が出ていない場合でも、技術文書やプロジェクト関連文書が窃取されたとされる今回の件は、セキュリティ面・商業面で大きな影響をもたらす可能性があります。
Cl0pのリークサイトへの投稿は、身代金交渉における圧力を高めることを目的としています。データ恐喝型攻撃では、脅威アクターが企業環境への侵入を果たした後、価値の高いデータの保管場所を特定し、機密情報を自らが管理するインフラへと転送します。
その後、データの削除または非公開を条件に金銭の支払いを要求します。従来型のランサムウェア攻撃とは異なり、この手法では被害組織の業務が即座に停止しない場合があります。
機密ファイル、従業員情報、取引先記録、あるいは設計文書がすでに組織の環境から持ち出された後であっても、基幹システムは稼働を続けられる場合があります。
今回のシェルを巡る事案が特に重大とされるのは、エネルギー企業が企業向けIT、クラウドサービス、リモートアクセスシステム、エンジニアリング基盤、サードパーティ供給業者、運用技術（OT）を含む複雑なテクノロジーエコシステムを運用しているためです。
仮に流出情報が本物であれば、公開された設計図面、施設の写真、試験報告書は、悪意ある行為者にインフラの構造、プロジェクトの日程、保守プロセス、取引先との関係性について貴重な手がかりを与えかねません。
CSNによると、こうした情報は従業員や契約業者、取引先を標的とした巧妙なソーシャルエンジニアリング攻撃にも悪用され得るとしています。セキュリティ研究者は、Cl0pが公開するファイルやスクリーンショットについて、その内容が本物かつ最新のものであるかどうかの兆候を精査するとみられます。
脅威アクター集団は、自らの主張を裏付け世間の圧力を高めるため、選別したサンプルを公開することがよくあります。
ただし、シェルまたは信頼できる調査機関による確認が取れるまでは、窃取されたとされるデータの量や攻撃者による説明を、独立して検証された事実として扱うべきではありません。
犯罪集団はこれまでも、侵害規模を誇張したり、古い情報を誤って伝えたり、確たる証拠のないままデータセットを特定の組織に紐づけたりすることがありました。
Cl0pは、企業向けソフトウェアや外部に公開されたファイル転送技術を標的とした、大きな影響を及ぼすデータ窃取キャンペーンで知られる存在です。
同集団はMOVEit Transferなどの製品やAccellion FTAを標的とした大規模な悪用キャンペーンで広く知られるようになりました。これらの事案は世界中の数百の組織に影響を及ぼしました。
同集団の実行者は、従来型のランサムウェア展開よりもデータ窃取と恐喝を優先することが多く、エンドポイントやサーバーに暗号化ツールを必ずしも展開せずとも、多数の被害者を標的にできます。
今回の事案は、重要インフラを扱う組織が、外部公開アプリケーション、特権アクセス、取引先との接続に対して厳格な管理を維持する必要性を改めて浮き彫りにしています。
企業は、インターネットに公開されたシステムへの迅速なパッチ適用、管理系サービスにおける多要素認証の徹底、セキュリティログの一元管理、不審なデータ転送を検知するための送信トラフィックの監視を行うべきです。
シェルの調査が続く中、エネルギー分野の防御担当者は、既知の攻撃経路への露出状況を見直し、データ恐喝事案に備えたインシデント対応・危機コミュニケーション計画が万全であることを確認する必要があります。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化しMTTRを短縮しましょう
翻訳元: https://cyberpress.org/shell-investigates-data-breach-cl0p-ransomware-group/
