eSecurity Planet のコンテンツおよび製品の推奨事項は、編集上の独立性を保っています。パートナーへのリンクをクリックいただくことで、当社が収益を得る場合があります。 詳細はこちら
ある暗号資産詐欺師が、暗号資産ユーザーを狙ったフィッシングおよびビッシング(音声フィッシング)工作の一環として、Anthropic社のClaude Codeを使い10万件以上の電話番号をスクリーニングしていたことが分かりました。
Rapid7は、「Operation ASTERIX」として追跡されている詐欺キャンペーンに関連する、外部に露出したインフラを調査する過程でこの活動を発見しました。研究者らはサーバー上でおよそ88万5,000件の電話番号を発見し、その記録から、AIが実行者のワークフローの一部に組み込まれていた実態が明らかになりました。
復元されたファイルにより、調査担当者はキャンペーンの内部を異例なほど詳細に把握することができました。証拠からは、大量の電話番号データが段階的に絞り込まれ、その後選定された対象者にアプローチが行われていた様子がうかがえます。
生の電話番号リストから検証済みの暗号資産リードへ
外部に露出したサーバー上の電話番号記録は、複数の国およびデータソースにまたがっていました。Rapid7が発見したツールは、個々の電話番号が暗号資産プラットフォームと関連付けられているかどうかを確認するものでした。
あるドイツのデータセットには31万6,002件の携帯電話番号が含まれていました。自動化されたCrypto.comチェッカーにより、そのうち4万3,066件、全体の約13.6%のアカウントが確認されました。
該当が確認された番号には、氏名、メールアドレス、所在地、アカウント情報を紐付けて情報を充実させることが可能でした。個人情報が分かっているとソーシャルエンジニアリング攻撃の説得力が増すことがあります。詐欺師が接触する前から、対象者がどのサービスを利用しているかをすでに把握している場合があるためです。
復元されたBinance関連のリードパネルには、攻撃対象として検証済みの暗号資産ターゲット5,576件が待機状態で登録されていました。
フィッシング通話と偽ウォレットが標的を窃取へと誘導
メールと電話による接触は、連携する形で行われていました。フィッシングメッセージには事件番号や確認コードが記載されており、これを後続の電話で通話担当者が参照できる仕組みになっていました。
Asteriskおよび3CXを用いた通話インフラが、自動化されたアウトバウンド発信を支えていました。実行者は、氏名、所在地、利用している可能性の高い取引所といった情報をあらかじめ把握した上で対象者に接触することができ、これはハイブリッド型ビッシングキャンペーンでも見られる手口です。
復元されたマルウェアは、暗号資産窃取のもう一つの経路となっていました。Trezor Suite、Ledger Live、Exodusの偽バージョンがWindowsおよびmacOS向けに見つかっています。
偽のTrezorソフトウェアはウォレットのリカバリーフレーズを窃取できるほか、悪意あるLedger Liveのビルドは、コピーされた暗号資産アドレスを攻撃者が管理するアドレスに置き換える機能を持っていました。同様の暗号資産窃取の手口では、悪意あるブラウザ拡張機能やクリップボード操作を用いて送金先を差し替える手法も確認されています。
ただし、Claudeがすべての要求に応じたわけではありませんでした。実行者が悪意あるLedger Liveビルドの難読化や配布用バージョンの準備を依頼した際、このAIアシスタントは要求を拒否しています。
その後、詐欺師はKimi K2.7 Codeに切り替え、安全対策を回避することを狙ったジェイルブレイク用プロンプトを送信しました。この試みが成功したかどうかについて、Rapid7は特定できていません。
暗号資産ユーザーはサポート窓口を自ら独自に確認する必要あり
暗号資産取引所やハードウェアウォレットを利用している場合、相手があなたの氏名やメールアドレス、利用しているプラットフォームを知っているからといって、その企業の関係者であるとは限りません。詐欺師は、電話をかけてくる前から、すでにあなたのアカウントとの関連性を確認済みである可能性があります。
- 予期しないサポート電話は打ち切る。ウォレットの問題やアカウント確認について連絡があった場合は、いったん電話を切り、公式アプリやウェブサイトを通じて提供元に問い合わせてください。
- リカバリー用の認証情報は絶対に共有しない。シードフレーズやリカバリーフレーズは、サポートを名乗る相手であっても決して渡してはいけません。
- 不審な連絡経由で送られてきたソフトウェアは避ける。電話やメールの最中に案内されたリンク、ダウンロード、コマンドを通じてウォレットアプリをインストールしないでください。
- より強固なアカウント保護を利用する。取引所のアカウントで利用可能な場合は、フィッシング耐性のあるMFAを有効にしてください。
- 被害が疑われる場合は速やかに対応する。不審なソフトウェアやウェブサイトにリカバリーフレーズを入力してしまった場合は、そのウォレットは危殆化したものとみなし、ウォレット提供元の公式な復旧ガイダンスに従ってください。
取引所やウォレットの提供元は、アカウント列挙(enumeration)の試行を制限し、不審な検証トラフィックにレート制限をかけ、ローテーションするプロキシからの繰り返しリクエストを監視することで、被害の露出を抑えることができます。
その他のセキュリティニュース: あるハッカーが、マクドナルド、Vodafone、TCSなどの企業に関連するAzure連携の従業員記録360万件を販売していると主張しています。
翻訳元: https://www.esecurityplanet.com/artificial-intelligence/news-claude-code-crypto-vishing/
