ソーシャルエンジニアたちが、偽の企業買収(M&A)案件を装い、企業に自社口座への高額送金を持ちかけようとしています。
これはサイバーセキュリティの世界で最も古い手口の一つである前金詐欺の新世代版であり、賭け金はさらに大きくなっています。セキュリティブランドNortonとAvastの親会社であるGenは、企業買収を装った策略の標的となりました。Genがこの攻撃未遂事件を調査したところ、同社は少なくとも5つの標的のうちの一つに過ぎず、いずれも巨額の金銭を失う危険にさらされていたことが判明しました。
「詐欺の手口はますます巧妙になっており、最も訓練を積んだ目を持つ人でさえ見抜くのが難しいことがあります」と、Genのセキュリティエバンジェリストであるルイス・コロンズ氏は述べています。同氏はGenのシニア・プリンシパル脅威分析エンジニアであるマルティン・フルメツキー氏とともにこのキャンペーンに関する報告書を共同執筆しました。
今回のケースでは幸い、注意深い従業員の存在と、攻撃者側のシナリオに生じたいくつかのほころびによって、会社は救われました。「攻撃者の手法はかなり洗練されていましたが、個々のシナリオには不完全な点がありました」とコロンズ氏は言います。「もっと筋の通ったストーリーであれば、同じ手口ははるかに危険なものになっていたでしょう」
「幻の取引」
「Phantom Deal(幻の取引)」と名付けられたこのキャンペーンの背後にいる攻撃者たちは、事前の下調べを怠りませんでした。彼らはGenの法務チームの一員である「David」という人物を特定しました。同社で進行中と思われる何らかの企業取引に関与していそうな人物です。最初のフィッシングメッセージはWhatsApp経由で送られ、親しみやすく当たり障りのない内容でした。攻撃者は同社の役員になりすまし、その電話番号にはその役員の母国の市外局番が正しく使われていました。
その「役員」は、内密の話としてある知らせを従業員に伝えました。大規模な企業買収を取り仕切っているというのです。details(詳細)はやや曖昧で、Genの子会社と、多額の小切手が絡む話でした。
「彼らはDavidに対して、誰が誰を買収するのかという完全に筋の通った説明を一度もしませんでした」とコロンズ氏は振り返ります。「彼らがやったのは、実在する企業の歴史を土台に話を組み立てることでした。NortonLifeLockは2022年にAvastを買収しており、不正な送金指示はAvast Softwareに対し、NortonLifeLock Ireland Limitedに代わって支払いを行うよう求めるものでした。これは非公開の買収案件に関連しており、取引発表時に払い戻されるという触れ込みでした。それだけで、もっともらしい企業買収(M&A)の文脈が作り上げられていましたが、よく見ればつじつまは合っていませんでした」
ストーリーの構成は『オデュッセイア』には遠く及ばなかったかもしれませんが、それ以外の運用面の細部はすべて的確でした。2人目の攻撃者はPricewaterhouseCoopers(PwC)の仲介者になりすまし、PwCのブランドを模した秘密保持契約書(NDA)まで用意していました。このNDAは巧妙にも、従業員に秘密厳守を誓わせることで他の従業員をこの策略から遠ざけ、さらにすべての連絡をWhatsAppと個人のメールアドレスに限定するよう指示することで、不審なメッセージが企業の監視システムの目に触れないようにしていました。この「秘密の取引」というストーリーが、本来であれば完全に不審に見えたはずの要求に、それらしい文脈を与えていたのです。
そして、いよいよ本題の要求がやってきます。取引を成立させるため、妙に細かい金額である626,735.45ユーロを香港の企業に送金する必要があるというのです。
この作り話が崩れたのは、従業員と攻撃者が電話で話した際、従業員がなりすまされた役員の声がおかしいことに気づいたためでした。この時点で、攻撃者側が逆に攻撃される立場になりました。Genは偽の取引確認メールを作成し、犯人側にはあと一歩で成功するところだと思わせ続けました。このメールにはトークン付きのリンクが仕込まれており、攻撃者の行動や接続先を追跡できるようになっていました。
偽のNDAに含まれていたメタデータから、研究者たちは同じキャンペーンの別の4つの標的を特定することができました。標的となったのはいずれも上級職の従業員で、プライベートエクイティ、産業金融、営業、鉱業、エネルギーといった、さまざまな業種の企業に所属していました。ほとんどの場合、それぞれの攻撃はその標的に合わせて完全にカスタマイズされており、「幻の取引」を演出するために利用する専門サービス会社(PwC、KPMG、Ogierなど)まで使い分けられていました。
企業はソーシャルエンジニアの動きをどう封じられるか
企業は、公開されているインターネット上に自社に関する膨大な情報をさらしています。Phantom Dealが説得力を持ち得た理由は、ソーシャルエンジニアたちが単純なウェブ検索だけで標的に関する詳細な情報を集められた点にあります。それでもコロンズ氏は、こうした情報をネット上から消し去ることが対策の答えにはならないと主張します。
「攻撃者たちは氏名、写真、役職、買収の経緯といった情報を利用しましたが、そのほとんどは正当に公開されているものであり、多くの場合は公開されている必要があるものです。security through obscurity(隠蔽によるセキュリティ)ではこの問題は解決しません」と同氏は言います。「攻撃者が持つ情報が不完全であることに頼るような企業であってほしくありません。犯罪者は自社について多くのことを知り得ると想定すべきです。防御の要は、たとえ優れた偵察を行った相手であっても、従業員に本人確認や支払い管理の手続きを迂回させることはできない、という点になければなりません」
また、従業員がそもそもそうした管理手続きを迂回しようとすることの愚かさを理解していることも助けになります。Genの一件の立役者である「David」は、基本的な注意力によって、それ以外の点では説得力のあった攻撃を見破りました。「第一に、彼は画面上に表示された身元をそのまま信じるのではなく、本人確認を行いました。第二に、正当な取引がどのようなものであるべきかを理解していました」とコロンズ氏は指摘します。
他のすべての人への教訓として、同氏はこう述べています。「相手が正当な人物に見えるかどうかだけを問うのではなく、相手が従うよう求めてくる手続き自体が正当なものかどうかを問うべきです。ほとんどの従業員にとって、何かおかしいと感じた時点で取るべき正しい次の行動は、詐欺師とやり取りを続けることではなく、報告することです。たとえ報告した取引が正当なものだったとしても、あなたが安全を優先して行動したことを、会社はきっと評価するはずです」
