TITANという名称の新興ランサムウェア・アズ・ア・サービス(RaaS)グループが、盗んだ企業データを自律的に分類し、法規制上のリスクを特定できると謳うAI駆動型の恐喝プラットフォームを宣伝しています。
Dataprivacy consulting
TITANは2026年4月4日に設立され、5月から活動を開始し、これまでに10カ国にまたがる24件の被害組織を公表しています。
イタリアが公表被害者数10件で最多となっており、次いでチェコが4件、米国が3件と続いています。これは製造業や専門サービス業を中心にイタリアの組織に対する攻撃が最近集中していることを示しています。
このプラットフォームは、1時間あたり最大700GBの企業内混在ファイルを処理できると宣伝されていますが、この主張は独自に検証されていません。
TITANの宣伝資料によれば、このエンジンは窃取した文書を財務記録、法務ファイル、個人識別情報、企業秘密、知的財産、社内通信といったカテゴリーに自動的に分類するとしています。
さらに、税務上の不正の証拠、機密性の高い従業員データ、商業入札情報、顧客リスト、社内図面といった、交渉時に最大限の圧力を生み出す可能性が高い資料を特定できるとも主張しています。
このグループはまた、取引先、ペーパーカンパニー、オフショア企業、関係者間のつながりを浮かび上がらせることを目的としたエンティティ関係マッピング機能も宣伝しています。
さらに懸念されるのは、EUの一般データ保護規則(GDPR)、カリフォルニア州のCCPA/CPRA、シンガポールのPDPAをはじめとする50以上の法規制枠組みに照らして、管轄地域ごとの法的分析を実施できると主張している点です。
単にファイルを漏洩すると脅すだけでなく、TITANはデータ保護当局、税務当局、金融情報機関、報道機関宛ての通知パッケージを自動生成できるとしています。
このアプローチは、盗んだデータを数値化された法的・評判上の圧力キャンペーンへと転換することを狙ったものです。
同グループの身代金算出エンジンは、被害組織の推定売上高、キャッシュフロー、想定される法規制上のリスクを組み合わせて「最適な」要求額を導き出すとされています。
これは、攻撃者が主に窃取データを手作業で確認し、広範な漏洩の脅しに依存していた従来の二重恐喝手法からの進化を反映しています。
もしこの自動化が実際に機能するのであれば、アフィリエイトが侵入を高圧的な交渉へと転換するのに要する時間を短縮できる可能性があります。
また、技術力の低いランサムウェアパートナーであっても、被害組織に対して、個別に調整された告発内容や規制への言及、算出済みの財務的リスクを提示できるようになる可能性があります。
ただし、防御側はTITANのAIに関する主張について、独自に検証されるまでは攻撃者側のマーケティングとして扱うべきです。ランサムウェアグループはアフィリエイトを勧誘したり被害組織を威嚇したりするために、能力を誇張することが頻繁にあります。
Cyberxtronの研究者らによれば、TITANの最も注目すべき差別化要因は、大々的に宣伝されている「オンプレミスAI」エンジンであり、同グループはこれが専用のAMD EPYCインフラ上でGPUアクセラレーションによる推論を用いて動作していると説明しています。
TITANのRaaSにおけるAI活用
外部報道では、TITANの被害者リストに関連するとされる分析結果について、規制上の制裁金、侵害通知にかかる費用、詐欺責任、訴訟リスク、評判上の損害といった観点でリスクを整理していると報じられています。
TITANは、検証によるゲート制を採用した、非公開から半公開に近いアフィリエイトモデルで運営されています。
パートナーは加入前に犯罪歴の確認、技術評価、過去の侵入実績の検証を受けるとされており、その際に返金不可の登録料を支払う必要があります。
同グループはアフィリエイトに対して収益の90%を分配し、10%をプラットフォーム手数料として保持しています。
その利用規約では、医療機関、緊急サービス、K-12の学校、重要インフラ、検証済みの非営利団体、葬儀サービスを標的にすることをアフィリエイトに禁じています。
しかし、こうした制限は企業、金融機関、産業企業、自治体機関への攻撃を実質的に制約するものではありません。
同グループはまた、法執行機関の関係者、ジャーナリスト、研究者、競合するランサムウェア組織のメンバーがパートナープログラムに参加することも禁じています。
TITANはデータ窃取、暗号化、公開漏洩の脅しを組み合わせた二重恐喝モデルを採用しています。その公開インフラには、クリアネットサイトのtitanblog[.]org、Torベースの漏洩用インフラ、被害組織との連絡に使うToxメッセンジャーが含まれます。
Dataprivacy consulting
Windows版暗号化ツールに関する公開技術分析は依然として限られており、確認されているLinux版やESXi版は存在せず、公開されている復号ツールも報告されていません。
組織は、公開されているVPN、ファイアウォール、リモート管理システムのパッチ適用を優先しつつ、リモートアクセスおよび特権アクセスに対してフィッシング耐性のある多要素認証(MFA)を徹底すべきです。
TITANの報告されている活動パターンを踏まえると、PowerShell、WMIC、PsExec、不審なリモート管理操作、シャドウコピー削除イベントを迅速に調査することも特に重要です。
セキュリティチームは、管理系システム、ドメインコントローラー、バックアップをユーザーネットワークから分離し、オフラインのイミュータブルバックアップを維持するとともに、復元作業を定期的にテストする必要があります。
TITANが宣伝する価値提案の中心は暗号化そのものではなく窃取データにあるため、インシデント対応計画では単なるファイル復旧だけでなく、データ漏洩の影響評価、規制当局への通知の判断、対外的なコミュニケーション対応にも備えておく必要があります。
★ 削減すべきセキュリティツールをどう見極めるか?1ページで評価する方法 – 「継承されたセキュリティスタック」ガイドをダウンロード
翻訳元: https://gbhackers.com/titan-raas-uses-ai/
