Luna Moth流出ファイルが明らかにしたランサムウェアグループの内部事情

大手ランサムウェアグループの内部事情が、流出したファイルによって明らかになりました。そこには、多層的で企業さながらの組織的な運営ぶりが表れています。

Check Pointの研究者による分析で、Luna Mothグループが「スタッフ」に与えている指示の内容が判明しました。被害者を感情的に操り、企業のマシンへのリモートアクセスを許可させる方法に加え、ソーシャルエンジニアと実際にキーボードを操作する攻撃者の間で作業をどう分担しているかも明らかになっています。

これらの文書は2026年10月上旬、匿名のonionサイト「The Luna Moth Files」に流出しました。Luna Moth（Silent Ransom Group（SIG）としても広く知られています）の内部ファイルとチャットログが含まれるとされています。サイバーセキュリティアナリストの間では、このグループはChatty Spider UNC3753としても追跡されています。

Check Pointのサイバーセキュリティ研究者らは、これらのファイルを分析し、10月9日に結果を公表しました。分析からは、Silent Ransom Groupの内部事情とみられる実態が浮かび上がっています。「スタッフ」は作戦の複数の段階を分担しており、機密情報を盗み出し、恐喝によって被害者から金銭を脅し取ることを目的としています。 

作戦は計画段階から始まります。犯罪者は標的とする組織や個人を選定し、必要な業務上の背景情報を把握します。これにより、被害者を電話での連絡に誘導する前の最初の接触が、完全に正当なものに見えるようにします。

多くの場合、攻撃者はITサポート担当者やITセキュリティ担当者を装います。その立場を利用して、リモートアクセスソフトウェアを通じて自分のコンピュータへのリモートアクセスを許可するよう標的を説得します。これにより攻撃者はネットワークへの初期アクセスを得て、内部を移動したり、権限を昇格させたりすることもできます。

流出した文書によると、攻撃者には従うべきスクリプトが提供されています。スクリプトは、被害者が示しがちな反応や受け答えを想定したものです。相手が攻撃者を信用しない場合や、抵抗する場合に、電話をかける側がどう対処すべきかという助言も含まれています。

サイバー詐欺師にもITサポートが存在

流出内容から明らかになったとみられるソーシャルエンジニアリング攻撃の特徴のひとつは、攻撃者がITサポート担当者を装って被害者と電話で話す際、電話をかける人物が単独で動いているわけではないという点です。

文書によれば、1人が被害者と実際に会話して安心させ、落ち着かせている間に、別の1人が実際にリモートソフトウェアを操作しているようです。流出したファイルによると、この2人の犯罪者はグループメッセージングサービスを使って連携しています。

Check Pointのレポートは次のように指摘しています。「内容が本物であれば、今回の流出は、Luna Mothを従来型のランサムウェア集団というより、信頼の組織的な操作を中核基盤とする専門的なデータ恐喝ビジネスとして捉えるべきことを示しています」

この活動が人間を直接の標的にしていることから、研究者らは、このような手口のサイバー恐喝がもたらす脅威から組織を守るには、技術的な対策だけでは不十分だと警告しています。

こうしたキャンペーンの被害から従業員を守るため、組織が取れる対策としては、次のようなものがあります。予期しないIT部門からの依頼は、リモートセッションを承認する前に、別の既知の連絡経路で確認するよう従業員に促すこと。そして、従業員がインストールできるリモートアクセスツールを制限することです。