企業幹部にとって最も機微な本人確認データが、ダークウェブの市場でわずか0.25ドルという価格で売買されています。
Rapid7が明らかにしたこの実態は、パスワードやクレジットカード情報にとどまらず、永続的に使われる身元識別情報までもがパッケージ化・情報付加されたうえで、詐欺や企業侵入のために転売される、効率化が進んだ犯罪市場の姿を浮き彫りにしています。
銀行がすぐに無効化できる盗難クレジットカードとは異なり、米国の社会保障番号(SSN)が漏えいした場合、簡単には再発行できません。
そのため、サイバー犯罪者にとってSSNは長期にわたって利用価値のある資産となります。住所や生年月日、電話番号、勤務先情報、さらには一般公開されている経歴情報と組み合わせることで、価値の高い人物へのなりすましが可能になるのです。
Rapid7は2026年初頭以降、395人の企業関係者に紐づく476件の漏えいSSNレコードを追跡してきました。
この漏えいは特に経営幹部層に集中しており、流出したプロフィールのうち44.6%をC級役員(CEO・CFOなど)が占め、さらに28.6%を社長クラスが占めていました。
データは主に米国関連に集中しており、これはSSNが米国の国民識別番号としての役割を持つことを反映しています。Rapid7の調査によると、確認された漏えい事案の95.6%は米国に本社を置く企業に関するものでした。
業種別では金融サービス業が被害企業全体の4分の1以上を占め、これに続いて産業セクターが17%となっています。
Rapid7の調査によって、Xilo、Bankomat、PeopleFinderという3つの市場が、確認された幹部SSN漏えい事案全体の81.5%を占めていることが判明しました。
2025年3月から稼働しているXiloは、Tor隠しサービスとして運営されており、クリアウェブ(通常のインターネット)上にもミラーサイトを維持しています。このプラットフォームはSSNレコードを一律0.25ドルで販売しているほか、0.5ドルで利用できる逆引き検索機能も提供しており、これを使うと被害者のプロフィールに電話番号などの連絡先情報を追加できます。
2022年から運営されているBankomatは、1レコードあたり約4ドルを課金しています。これはより広範なカード情報売買市場として機能しており、身元データを盗難クレジットカード番号やCVV、カード有効性確認サービスとセットで扱っています。
一方PeopleFinderは、法執行機関により摘発されたSSNDOB Marketplaceの後継として、名称を変えて再登場したものと説明されています。1件の検索につき1.5ドルを課金しており、2,400万件を超える米国内の個人識別情報を含むとされる旧来のデータベースを活用していると伝えられています。
これらのサービスは通常、自らデータを収集しているわけではありません。データブローカーや医療機関、金融機関を巻き込んだ大規模な情報漏えい事件から得られたデータを扱う、下流の清算所のような役割を担っています。
インフォスティーラー型マルウェアやフィッシング活動も、身分証明書、ブラウザ保存データ、税務記録、被害者の端末から収集した連絡先情報など、より新しく標的を絞った情報の供給源となっています。
こうしたリスクは、従来型の個人情報詐欺にとどまりません。盗まれた幹部のSSNは、合成identity詐欺(実在情報と架空情報を組み合わせた詐欺)や不正なクレジット申請、税金詐欺、アカウント乗っ取り、そして極めて巧妙なソーシャルエンジニアリング攻撃にも悪用されかねません。
企業の登記情報やSNSのプロフィール、組織図と組み合わせることで、幹部へのなりすまし攻撃の信ぴょう性は格段に高まります。企業にとって、こうした情報漏えいはビジネスメール詐欺(BEC)や不正行為につながる直接的なリスクとなります。
幹部の個人情報を手にした攻撃者は、財務担当チームや役員秘書、外部の取引先に対し、不正な送金や給与変更、機微な文書の提出要求などが正当なものであると信じ込ませやすい立場に立つことになります。
Rapid7は、幹部の身元情報漏えいを単発の侵害事案としてではなく、継続的なセキュリティ課題として扱うことを推奨しています。
組織は、幹部に関するデータについてダークウェブ上のソースを継続的に監視するとともに、財務・管理業務に関わる依頼には帯域外での本人確認を徹底し、経営幹部情報の不要な公開を減らし、経営幹部や秘書に対してなりすまし手口を見分けるための訓練を実施すべきです。
SSNがひとたび犯罪エコシステムに流入してしまえば、その価値が失われることはありません。だからこそ、検知の迅速さ、身元情報の継続的な監視、そして堅牢な本人確認プロセスが、二次被害を最小限に抑えるうえで極めて重要になります。
セキュリティチームに、不審な活動をより迅速に調査し、被害が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査力を強化する
翻訳元: https://cyberpress.org/hackers-can-buy-corporate-executives-social-security-numbers/
