米政府機関、ランサムウェア集団「SafePay」に関する勧告を発表

米サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)、連邦捜査局(FBI)、シークレットサービス(USSS)、およびドイツと英国のサイバーセキュリティ機関は、ランサムウェア集団「SafePay」に関する共同のサイバーセキュリティ勧告を発表しました。

SafePayは金銭目的の脅威グループで、2024年8月から活動しています。南北アメリカ、欧州、オーストラリアの企業や重要インフラ事業者を標的にしています。同グループは二重恐喝の手口を用い、データを窃取したうえでランサムウェアでファイルを暗号化し、身代金を要求します。支払わなければファイルは復号されず、盗まれたデータもオンラインで公開されます。

同グループは存在が確認されてわずか2カ月後に、米国のビジネスサービス企業Conduent Business Servicesを攻撃し、8.5テラバイトのデータを窃取しました。Conduentはこのインシデントの影響が6,220万人に及ぶと報告しています。これは米国の医療データ漏えいとしては、史上3番目の規模です。SafePayは攻撃のペースを上げており、現在では最も活発なランサムウェア集団の一つです。重要インフラの複数のセクターで、600を超える組織を攻撃しています。

今回の勧告には、作成機関やセキュリティ研究者が確認した最新の戦術・技術・手順(TTP)が盛り込まれています。SafePayの攻撃者は、初期アクセスにさまざまな手法を使います。ブルートフォース(総当たり)によるパスワード攻撃、認証情報の漏えい、エッジデバイスの脆弱性の悪用などです。悪用が確認された脆弱性には、Cisco Adaptive Security ApplianceのCVE-2023-20269とCVE-2020-3259、Veeam Backup & ReplicationのCVE-2023-27532とCVE-2024-40711、SonicWall SonicOSのCVE-2024-40766があります。VPNも標的で、特にVPNプロバイダーのMullvadに対し、フィッシングで入手したアカウントプロファイルが使われています。

ネットワークに侵入すると、SafePayの攻撃者は既存アカウントを乗っ取るか、新たなアカウントを作成します。そのうえで正規のシステムツールを使い、認証情報の窃取、ネットワークスキャン、横展開(ラテラルムーブメント)、データの持ち出しを行います。価値の高いファイルを特定して外部へ持ち出し、セキュリティ対策を無効化したあと、ファイルを暗号化して身代金要求メモを残します。

勧告を作成した各機関は、システムの定期的なパッチ適用と更新を推奨しています。特に前述の脆弱性や、その他の悪用が確認されている既知の脆弱性(KEV)への対応を優先するよう求めています。管理ツールと権限は制限し、ゼロトラストの原則を導入すべきだとしています。アカウントのセキュリティについては、ID・認証情報・アクセス管理(ICAM)のポリシーと多要素認証の導入で強化するよう促しています。侵害の痕跡(IoC)や詳細なTTP、さらなる推奨事項は、セキュリティ勧告に詳しく記載されています。