企業幹部の社会保障番号(SSN)が、ダークウェブ上のID情報マーケットプレイスでわずか1件0.25ドルという安値で売買されています。これにより、経営幹部へのなりすまし、ビジネスメール詐欺(BEC)、そしてID盗用を狙う詐欺師にとって、低コストで犯行に着手できる入り口が生まれています。
InstallingSecurity Systems
Rapid7が公表した最新の脅威調査によると、ますます高度化する「アイデンティティ・アズ・ア・サービス」のエコシステムが存在することが明らかになりました。この環境では、犯罪者向けプラットフォームが、盗まれたSSNを氏名、住所、生年月日、電話番号、その他の個人識別情報(PII)とパッケージ化して販売しています。
パスワードやクレジットカード情報とは異なり、SSNは一度漏えいするとリセットすることができません。そのため、サイバー犯罪者にとって長期にわたって価値を持つ資産となっています。
幹部のPIIが企業リスクに
Rapid7の分析では、2026年初頭以降、395人の企業関係者に紐づく476件の漏えいSSNリストが確認されました。
被害を受けた個人の中で最も割合が高かったのは上級幹部です。Cスイート(最高経営責任者クラス)の幹部が全プロファイルの44.6%を占め、社長・副社長クラスが28.6%を占めました。
この漏えいがもたらすリスクは、個人の金銭的な詐欺被害にとどまりません。攻撃者は、漏えいしたSSNを企業の公開プロフィール、有価証券報告書、SNSプロフィール、さらには他の漏えいデータと組み合わせることで、極めて説得力のある幹部の人物プロファイルを作成できます。
こうした記録は、標的型フィッシング攻撃、不正なアカウント作成、税務詐欺、合成ID詐欺、さらには従業員・取引先・金融機関を狙ったなりすまし行為を助長する可能性があります。
Rapid7が収集したデータセットでは、金融機関が被害を受けた組織の4分の1以上を占め、次いで産業系企業が17%を占めました。また、漏えいした記録の約95.6%が米国に本社を置く組織に関連するものでした。
3大SSNマーケットプレイス
Rapid7は、Xilo、Bankomat、PeopleFinderという3つのマーケットプレイスを特定しました。この3サイトだけで、調査対象となった幹部のSSN漏えい件数の81.5%を占めています。
| マーケットプレイス | SSNの価格 | 主な特徴 |
|---|---|---|
| Xilo | 0.25ドル | 氏名、所在地、生年で検索可能。逆引き検索もオプションで利用可 |
| PeopleFinder | 1.50ドル | 氏名、生年月日、住所で検索可能 |
| Bankomat | 4ドル | 盗まれたカード情報やカード有効性確認サービスとともにSSNレコードを提供 |
Rapid7が観測した漏えい幹部SSNのうち、40.8%はXiloが原因であり、今回の調査サンプルの中で最大の情報源となっています。
同サービスでは、購入前に被害者の氏名、自宅住所、生年月日といった識別情報が表示されるため、犯罪者はSSNの購入代金を支払う前にターゲットを確認できます。
また、0.50ドルで逆引き検索サービスも提供しており、購入者はSSNまたは電話番号を入力することで、追加の識別情報を入手できます。こうしたエンリッチメント(情報付加)機能により、単一の盗まれた識別子を、詐欺に即座に利用できるより広範なプロファイルへと変換することが可能になります。
Bankomatは少なくとも2022年から稼働しており、個人情報の販売とカーディング(不正カード利用)業務を組み合わせています。一方PeopleFinderは、以前摘発されたSSNDOBマーケットプレイスのインフラや既存データと関連があるとみられ、報道によれば2,400万件を超える漏えい済み米国のPIIレコードへのアクセスを提供しているとされています。
これらのプラットフォームは通常、自らデータを盗み出しているわけではありません。むしろ、大規模な情報漏えい、データ集約業者、医療機関、金融サービス事業者、フィッシング活動、そしてインフォスティーラーマルウェアの感染などを通じて入手したデータベースを取得し、それを流通させる下流の「清算所」として機能しています。
特にインフォスティーラーは大きな価値を持つ場合があります。監視の行き届いていない端末や私物のデバイスから、ローカルに保存された文書、ブラウザに保存されたデータ、税務関連ファイル、企業のオンボーディング資料などを収集できるためです。犯罪者側の運営者はその後、このデータを解析・インデックス化し、再販に利用します。
企業は、幹部のPII漏えいを単なる個人の問題としてではなく、組織全体のセキュリティ課題として捉える必要があります。セキュリティチームは、要人(VIP)のID情報についてダークウェブの情報源を監視し、幹部が関わる支払いやアカウント変更の要求に対する帯域外(アウトオブバンド)確認を強化し、従業員になりすまし攻撃を見分けるための訓練を実施すべきです。
InstallingSecurity Systems
また企業は、信用情報のモニタリング、詐欺アラート、本人確認の見直し、財務・人事・法務チームとの積極的な連携などを含む、幹部を対象としたインシデント対応手順を整備しておくべきです。SSNの価格が安いからといって、リスクが低いとは限りません。わずか25セントの記録が、コストのかさむ高度に標的化された企業侵害の出発点となり得るのです。
調査の遅れによるインシデント発生を防ぎましょう。15,000のSOCから得られる脅威インテリジェンスで、あなたのTier 1を強化してください: TI Lookupを自社のSOCに統合する
翻訳元: https://gbhackers.com/hackers-can-buy-corporate-executives-social-security-numbers/
