米国と欧州の少なくとも600組織が、2024年8月以降にランサムウェア集団SafePayの攻撃を受けて侵害されたことがわかりました。国際的な法執行機関が公表した新たな注意喚起で明らかになりました。
米連邦捜査局(FBI)に加え、ドイツと英国のサイバーセキュリティ機関は、SafePayについて「2026年に最も活発なランサムウェアグループの一つ」になっていると指摘しました。同グループは、パスワードの推測、脆弱性の悪用、フィッシング攻撃などで、企業や重要インフラを狙っています。
この注意喚起は、SafePayが関与したFBIとドイツの法執行機関による多数の捜査に基づいて作成されました。直近の事案は8月に発生しています。
注意喚起には、同グループが攻撃で悪用した脆弱性が複数挙げられています。CVE-2020-3259、CVE-2023-20269、CVE-2023-27532、CVE-2024-40711、CVE-2024-40766などです。
各機関は注意喚起で次のように述べています。「SafePayの攻撃者は、ネットワークに侵入すると、新規アカウントの作成や既存アカウントの乗っ取りによって支配を確立します。その後、正規のシステムツールを使ってネットワーク内を移動し、価値の高いファイルを特定します。さらに、検知を避けるためにセキュリティ保護機能を無効化します」
同グループは、自動化されたスクリプトも使い、インターネットに公開されたシステムの脆弱性を狙っています。
ハッカーがシステムユーザーのパスワードを変更する場合もあります。ユーザーがログインしにくくなり、攻撃への対処を妨げられるためです。
攻撃者は、正規のツールでファイルを圧縮し、外部へ持ち出したうえで、被害端末にランサムウェアを展開します。ランサムウェアを被害システムへ転送する際には、AnyDeskやTeamViewerといった正規のリモートデスクトップツールが使われています。
注意喚起によると、SafePayは通常、暗号化したデータを人質に取り、復号鍵と引き換えに「企業収益の一部に相当する額を暗号資産で」要求します。
「被害者に圧力をかけるため、ランサムウェアグループの代理人が電話をかけてきます」
同グループのリークサイトには現在、ドイツ企業数十社のほか、中南米や米国の政府機関も掲載されています。専門家は以前、SafePayのコードの一部がLockBitに似ていると指摘していました。LockBitは、過去に数百件の攻撃を行ったものの、現在はほぼ活動を停止しているランサムウェア組織です。
SafePayは最近、米国最大級のITプロダクト・サービスプロバイダー、英国のテクノロジー企業Microlise、政府系テクノロジー請負企業のConduentへの攻撃を自らの犯行だと主張しています。
Conduentへの攻撃は、米国全体に大きな被害をもたらしました。同社がメディケイド(公的医療保険)、児童扶養、食料支援、道路通行料金などの業務を担っているためです。Conduentは先週金曜日、このランサムウェア攻撃を受けて提起された集団訴訟に対し、8,000万ドルで和解すると発表しました。
翻訳元: https://therecord.media/fbi-says-safepay-ransomware-gang-among-most-active-600-victims
