- Flashpointの調査によると、2025年7月から2026年7月にかけて、ダークウェブ上で1日あたり平均約34件の内部脅威関連投稿を確認
- 2026年7月には12,653件の投稿があり、そのうち75%は内部関係者自身がアクセス権を売り込むものだった
- 報告書は、内部関係者が今や最も弱い環のひとつになっていると警告し、違法フォーラムの外部監視を呼びかけている
毎月、数百人もの人々がダークウェブ上で自分の勤務先のITインフラへのアクセス権を売却しようと試みています。金銭目的で行う者もいれば、何らかの理由で会社に対して不満を抱いていることが動機になっている者もいます。
その結果、悪意ある内部関係者は、現代の企業にとって最大かつ最も危険な脅威のひとつへと成長しつつある、と専門家は警告しています。
これは、サイバーセキュリティ専門機関のFlashpointが発表した、内部脅威のリクルート活動、違法なアクセス権の広告、そして企業環境を狙う脅威アクターの活動に関する最新の月次分析によるものです。
従業員が売り、ハッカーが買う
同報告書によると、2025年7月から2026年7月にかけて、ダークウェブ上には1日平均34件のユニークな投稿があり、これらは「内部脅威投稿」に分類できるとしています。
これは月あたりおよそ1,000件のユニークな投稿に相当します。今年7月だけを見ても、Flashpointのアナリストは合計12,653件の内部関係者関連投稿を確認しました。これには、標的組織内の内部関係者をリクルートしようとする脅威アクターと、自らサービスを売り込む内部関係者の両方が含まれます。これらのやり取りのうち、ユニークな投稿は1,132件でした。
「境界防御やEDRのカバー範囲、その他のセキュリティツールが成熟するにつれ、脅威アクターは人的要素を狙い、内部関係者の認証情報を単に買い取ったり、従業員に金を払って「裏口」を開けさせたりする方が、より速く、より安く済むことに気づいています」とFlashpointは述べています。「アイデンティティが主要な攻撃対象領域になりつつある脅威環境において、違法なマーケットプレイスやリクルート活動を監視することは極めて重要です」。
おそらく最も分かりやすい例は、2025年のCoinbaseに対する攻撃でしょう。この事件では、ハッカーが海外のカスタマーサポート担当従業員に賄賂を渡し、顧客データへのアクセス権を提供させました。Coinbaseは当時、内部関係者が正規のシステムアクセス権を悪用したことでサイバーインシデントが発生したと説明しており、最終的に同社に約3億6,000万ドルの損害をもたらしました。
年間を通じて見ると、最も標的にされた業界は通信、小売、金融の3業種でした。しかし2026年7月のデータは「この傾向から明らかに逸脱している」とFlashpointは指摘しており、全投稿の半数以上(58.6%)がそれ以外の業界に関するものであったことが分かりました。
もっとも研究者たちは慎重な姿勢も見せており、これは脅威アクターが標的ネットワークへの別の侵入口を探しているだけの可能性もあると述べています。本質的には、サプライチェーン攻撃のための下準備というわけです。
このやり取りは双方向で行われている、とFlashpointは指摘しています。犯罪者側がパスワードやアクセス権に対して金銭を提示する場合もあれば、内部関係者側がより広範なサイバー犯罪コミュニティに向けて自らのサービスを売り込む場合もあります。ただし、比重は圧倒的に後者に傾いています。今年7月だけを見ても、ユニークな脅威アクターの投稿の4分の3以上(75%)が内部関係者によるものでした。
「これは、不満を抱えた従業員が企業データやネットワークへの侵入口の買い手を積極的に探すという、極めて強い動機を持った内部脅威の実態を示しています」とFlashpointは結論付けています。
行動を変える
この報告書は、見方によって良いニュースにも悪いニュースにもなり得ます。良いニュースとしては、ソフトウェアの防御力が非常に高まった結果、サイバー犯罪者が「クラッキング」から離れ、今やサイバーセキュリティの連鎖における最も弱い環となった従業員を狙う方向へとシフトしていることを意味します。
一方で悪いニュースは、組織が境界防御のあり方を見直す必要があり、その課題はかなり困難だという点です。
「内部脅威は、悪意ある活動が正規の認証情報と正当なアクセス権限に依存しているため、内部のセキュリティ管理だけでは本質的に検知が難しいものです」とFlashpointは説明しています。「内部のログのみに頼っていると、セキュリティチームがデータの持ち出しやシステム破壊がすでに発生した後になってようやく内部脅威を検知するというケースが往々にして起こります」。
そのため組織は、ディープウェブやダークウェブのフォーラム、招待制の脅威コミュニティ、さらには暗号化されたチャットプラットフォームを監視し、誰かが自社のITインフラへのアクセス権を売買しようとしていないかを察知すべきです。また、インフォスティーラーの活動や、侵害された企業の認証情報、有効なセッショントークンにも目を光らせ、それらが自社に対して悪用されないようにする必要があります。
最後に、攻撃者のTTP(戦術・技術・手順)をチームに提供できる、サードパーティのサイバーセキュリティインテリジェンスの導入も求められます。
