FBI、SafePayランサムウェアの被害は600組織超と警告:現時点で判明していること

SafePayランサムウェアは2024年8月以降、複数の重要インフラ分野にまたがる少なくとも600組織に被害を与えています。同グループによる企業ネットワークへの攻撃を詳述した、米連邦政府の新たな警告で明らかになりました。

FBI、米サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)、米国シークレットサービス、および国際的なパートナー機関は10月20日、この脅威に関する 共同サイバーセキュリティアドバイザリを公表しました。当局はSafePayを最も活発なランサムウェアグループの一つと位置づけています。その攻撃は複数の大陸にまたがり、企業や重要インフラに影響を及ぼしています。

この警告は、セキュリティ担当者に厳しい現実を突きつけています。攻撃者は、既知のセキュリティ上の弱点を突くだけで企業ネットワークに侵入し、機密情報を盗み出し、組織が復旧に頼るシステムまで破壊できてしまうのです。

SafePayランサムウェアによる攻撃の手口

アドバイザリによると、SafePayの被害は北米、南米、欧州、オーストラリアの組織に及んでいます。今回の警告は、米当局のほか、ドイツや英国の機関を含む国際的なパートナーが実施した調査に基づいています。

調査では、初期侵入の手法がいくつか特定されました。漏えいした認証情報の悪用、ブルートフォース(総当たり)によるパスワード攻撃、フィッシングで入手したアカウントの悪用、VPNなどインターネットに公開されたシステムの脆弱性の悪用などです。

調査では、Mullvad VPNに関連するIPアドレスからのSafePayの活動も確認されました。また、フィッシングで入手したアカウントを使って被害組織のネットワークにアクセスしていた事例も記録されています。ただし、Mullvad自体が侵害されたことを示す調査結果はありません。

アドバイザリは、SafePayの初期侵入に関連する5件の脆弱性を挙げています。このうち2件はCisco ASAおよびFTD製品に影響するもので、同グループによる侵害済みアカウントやVPNアクセスの利用とあわせて取り上げられています。さらに調査では、攻撃者が自動化スクリプトを使い、Veeam Backup & ReplicationとSonicWall SonicOSに影響する残り3件の脆弱性を悪用している様子も確認されました。技術的な詳細は、CISAの SafePayに関する完全版アドバイザリに掲載されています。

これらの脆弱性は、アドバイザリが強調している弱点の一部であり、SafePayの攻撃経路を網羅したものではありません。セキュリティ担当者は、影響を受ける環境がないかベンダーのアドバイザリと照合し、適切なセキュリティアップデートを適用する必要があります。

こうした攻撃手法は、企業のリモートアクセスセキュリティが抱える、より広範な弱点を反映しています。 eSecurityPlanetが過去に報じたとおり、公開されたVPNサービス、脆弱な認証情報、不十分なアクセス制御は、ランサムウェア攻撃者に付け入る隙を与えます。

SafePayの攻撃者はネットワークに侵入すると、侵害したアカウントや正規の管理ツールを使って足場を広げ、横方向に移動し、機密情報を盗み出し、復旧システムの妨害まで行っています。

同グループは二重恐喝の戦略をとっています。攻撃者はファイルを暗号化する前にデータを盗み、被害者が支払いを拒否した場合は情報を公開すると脅します。当局によると、SafePayの攻撃者はWindowsのシャドウコピーを削除し、バックアップを保管するネットワーク接続ストレージ(NAS)デバイスを初期化していました。被害組織の復旧は、これによって一段と困難になった可能性があります。

今回の警告は、同グループの活動に関するこれまでの調査を踏まえたものです。1月には、 eSecurityPlanetがFlareによるSafePayのリークデータ分析を報じました。この分析では、同グループが中小企業を標的にしていることが示されていました。

今回の連邦政府のアドバイザリは、調査で判明した事実、既知の攻撃手法、侵害指標(IoC)、推奨される防御策などを盛り込み、SafePayの活動をより広い視点から描き出しています。

SafePayの攻撃を防ぐためにセキュリティ担当者が取るべき対策

FBIとCISAは、脆弱なシステムへのパッチ適用、ID・アクセス管理の強化、管理者権限の制限を優先するよう組織に推奨しています。

セキュリティ担当者は、連邦政府の発表で強調された次の3つの対策に注力すべきです。

• 脆弱なシステムへのパッチ適用: VPN、ファイアウォール、その他インターネットに公開されたデバイスを定期的に更新します。既知の悪用が確認されているものを優先してください。
• アカウントセキュリティの強化: 多要素認証と、ID・認証情報・アクセスの管理ポリシーを導入します。特権アカウントを見直し、不審な認証の試行を調査してください。
• 管理者権限の制限: 管理ツールや権限は、必要な担当者だけに限定します。攻撃者が横方向に移動したり、セキュリティ制御を無効化したりする機会を減らせます。

これらの推奨事項に加え、SafePayが復旧基盤を標的にしている事実を踏まえると、バックアップの保護も重要な対策になります。

組織は、重要データの隔離コピーやイミュータブル(変更不可)コピーを保持し、バックアップ管理システムへのアクセスを制限したうえで、復元手順を定期的にテストすべきです。こうした対策により、攻撃者がWindowsのシャドウコピーを削除したり、バックアップを保管するNASデバイスを初期化したりしても、被害を抑えられる可能性があります。

追加のガイダンスは、eSecurityPlanetの ランサムウェア対策バックアップ保護ガイドで確認できます。

セキュリティ担当者は、不正なアカウント、不審なリモート管理の動き、予期しないデータ転送の監視も進める必要があります。

SafePayの攻撃者は、侵入後に正規の管理ユーティリティを使用しています。そのため、悪意ある活動と日常的なIT運用の区別が難しくなる可能性があり、こうした備えは特に重要です。

連邦政府のアドバイザリには、侵害指標と攻撃手法が記載されています。防御側は、これらを検知ルールの改善や、影響を受けた可能性のあるシステムの調査に活用できます。

組織は、データ窃取と暗号化を組み合わせた攻撃にも備える必要があります。バックアップからファイルを復元すれば業務の再開には役立つかもしれませんが、盗まれた情報が流出するリスクはなくなりません。

重要インフラや機微な顧客データを管理する組織にとって、当面の最優先事項は次のとおりです。公開されている侵入口を洗い出し、既知の脆弱性に対処し、不要な管理者アクセスを制限します。そのうえで、復旧システムが容易に無効化されないことを確認してください。

2024年8月以降、少なくとも600組織が被害を受けたSafePayのアドバイザリは、既知のセキュリティ上の弱点がランサムウェアの大規模な攻撃キャンペーンにつながりうることを示しています。脆弱なアクセス経路を塞ぎ、特権アクセスを制限し、バックアップを守ることは、たった一つの侵害されたアカウントが組織全体の危機に発展するのを防ぐうえで、引き続き欠かせない対策です。

関連記事: 同様の脅威への対策については、eSecurityPlanetの ランサムウェア対策ガイドもあわせてお読みください。ネットワークの保護、バックアップの確保、攻撃による被害の抑制に向けた実践的な手順を紹介しています。