見逃したニュース：ニックスのフィッシング訓練、一線を越える

フィッシング訓練は、サイバーセキュリティ意識向上研修の重要な要素になり得ます。しかし、NBA王者のニューヨーク・ニックスが最近示したように、訓練が裏目に出ることもあります。

The Athleticの最近の報道によると、ニックスを保有するマディソン・スクエア・ガーデン（MSG）スポーツは、10月20日の優勝バナー掲揚セレモニーを前に、タイミングの悪い練りの甘いフィッシング訓練を実施しました。MSGスポーツは従業員に対し、6月のNBAファイナルでの歴史的勝利を記念する優勝リングを無料で提供するという内容のメールを送信しました。

球団の従業員は、翌シーズンの開幕時に優勝リングを受け取るのが通例です。しかし、今回のメールはフィッシング訓練の一環でした。従業員がリンクをクリックしてリングを選ぼうとすると、訓練に失敗したと告げられ、サイバーセキュリティ研修の受講を義務づけられました。リングも受け取れませんでした。

今回のエピソードでは、Dark Reading上級記者のAlex Culafiと上級ニュースディレクターのRob Wrightがこの問題を取り上げます。ほかにも、ハクティビスト集団が国土安全保障省（DHS）に侵入して4万人以上の職員の人事記録を公開したものの、侵害の経緯が不明であること、そしてNew York Timesの報道によると、NVIDIAのジェンスン・フアンCEOが中国の諜報協力者に狙われていたことも取り上げます。

Dark Readingのニュース動画は、YouTubeチャンネルと厳選した動画記事でご覧いただけます。また、Dark Readingのニュースレターにもぜひご登録ください。

What We Missed：Rob Wright＆Alex Culafi 全文書き起こし

この書き起こしは、Informa TechTargetの社内AIアシスタントが、分かりやすさと長さを考慮して編集したものです。全体の雰囲気は動画でご確認ください。

Dark ReadingのRob Wright：Dark ReadingのRob Wrightです。

Dark ReadingのAlex Culafi：同じくDark ReadingのAlex Culafiです。

DRのRob Wright：「What We Missed」の時間です。Dark Readingの記事やポッドキャスト、動画で取り上げる機会のなかったニュースについて語る番組です。Alex、最初はとんでもない話題があります。

DRのAlex Culafi：ええ。

DRのRob Wright：非常に興味深い話で、サイバーセキュリティ意識向上月間にぴったりの題材だと思います。1週間半、もうすぐ2週間前になりますが、The Athleticがこんな記事を報じました。NBA王者のニューヨーク・ニックスの従業員に、「従業員用の優勝リングが届きました」というフィッシング訓練のメールが届いたそうです。ちなみに私はセルティックスのファンで、ニックスは大嫌いですが、昨年の優勝は称えるべきでしょう。メールには、無料で複数の種類のリングから選べると書かれていました。ところが従業員がリンクをクリックすると、フィッシング訓練に失敗したと告げられ、サイバーセキュリティの研修を必ず受けるよう指示されたのです。

議論に入る前に指摘しておきたいのですが、従業員が優勝リングを受け取るのは従来からの慣例です。さらに、オーナーのジェームズ・ドーランは多くの従業員にリングを配らなかったようで、この話はいっそう悪質になっています。Alex、この件をどう思いますか。

DRのAlex Culafi：今の説明だけで、意見が2つあります。1つ目は、フィッシング訓練はクリックしたくなる内容であるべきだということです。

DRのRob Wright：そのとおりです。

DRのAlex Culafi：2つ目は、従業員の切実な思いや、報酬への期待に——

DRのRob Wright：ええ。

DRのAlex Culafi：——これほど露骨につけ込むべきではないということです。残酷に映りますから。Robはどう思いますか。

DRのRob Wright：MSG（マディソン・スクエア・ガーデン）の広報担当者は、これを「残念な手違い」と呼んでいます。まさにそのとおりだと思います。現実に即したフィッシング訓練が必要なのは理解できますし、攻撃者の出方を想定するのは大事です。実際、腕の立つ攻撃者がMSGやニックスの組織全体を狙うなら、シーズン開幕のリング授与の日やバナー掲揚の日に、優勝リングを餌にしたフィッシングメールを送るのは悪くない手でしょう。問題は、まず、多くの従業員が実際にはリングをもらえなかったらしいことです。

そしてもう1つ、Alexの指摘どおり、何かをもらえると本気で期待している時期にこんな訓練をするのは、残酷に思えます。今回は完全に裏目に出ました。本来なら祝うべき日、つまりバナーを掲げてリングを受け取る楽しい日だったのに、台無しにしてしまいました。まさに自ら墓穴を掘ったわけです。サイバーセキュリティ意識向上月間の今後の取り組みでは、こうした手法は避けるべきでしょう。

DRのAlex Culafi：そうですね。従業員を十分に大切にしていないのでは、と思わせてしまうようなセキュリティテストは避けるべきです。

DRのRob Wright：リングをもらえなかったわけですからね。悲しい話です。さて、今週はほかに何がありますか。

DRのAlex Culafi：ええ、もう1つ奇妙な話があります。今週は奇妙な話が3つありますね。

DRのRob Wright：そうです。

DRのAlex Culafi：DHSの「Icepick」流出が報じられています。10月28日に始まった件です。透明性を掲げる団体のDistributed Denial of Secrets（DDoSecrets）が、「Department of Peace」と名乗るハクティビスト集団から受け取ったデータセット「Icepick」を公開しました。

データには、ICE（移民・関税執行局）、CBP（税関・国境警備局）、USCIS（市民権・移民業務局）など、約4万1,000人のDHS職員と契約業者の記録が含まれています。前の2つは国境警備と移民関連の執行機関です。そこにCISAまで含まれているのは興味深いですが、DHSの傘下にあるということなのでしょう。

攻撃者は、データはDHSのOktaベースのアイデンティティシステムから入手したと主張しています。Oktaは、否定とまではいかないものの、「Oktaは安全であり、当社のデータやシステムが侵害された証拠はない」としています。もう1つ興味深いのは、DHSが侵害の発生を否定せず、「侵害の可能性」について調査とインシデント対応を進めていると述べた点です。全面的な確認には至っていない言い方です。ただ、データを確認した人々は本物のようだと述べています。氏名、勤務先メールアドレス、勤務先の電話番号、オフィスの所在地のほか、報告系統や管理職、5万5,000を超える内部の権限グループ、さらに調査、監視、情報収集、AI、潜入捜査の各プログラムに関する記述も含まれているとされます。Robはどう思いますか。私にも意見はありますが、まずあなたの考えを聞きたいです。

DRのRob Wright：私の期待が高すぎるのかもしれませんが、これだけ規模が大きく、職員記録という機微な情報が出回った侵害なら、事実かどうかは早い段階で確認されるはずだと思います。今回は、データが盗まれたというだけでなく、すでに入手されているという点で、私には少し違って見えます。データは公開されており、攻撃者はDDoSecretsから情報を持ち出せます。活動家の目的や政治的な立場は別にしても、DHSにとって好ましい事態ではありません。控えめに言ってもそうです。

DRのAlex Culafi：ええ、恥ずかしい事態です。

DRのRob Wright：Oktaであれ別の経路であれ、同じ手口で再び侵入できる可能性があるなら、DHSは確認と対処を急ぎ、できるだけ早く解決済みだと表明したいはずです。「侵入経路は特定した。再侵入はできない。事態に対処し、脅威を緩和している」といった説明です。それがまだ出ていないようで、少し気がかりです。

DRのAlex Culafi：興味深いですね。Department of Peaceの正体は分かりません。ロシアの攻撃者が混乱を狙っている可能性もあります。

DRのRob Wright：確かにそうですね。

DRのAlex Culafi：ただ、この組織が米国を拠点としていると仮定すれば、米国の組織による、あるいは米国の組織に対するこの規模のハクティビズムは、非常に珍しいと思います。LLMや攻撃キット、クラウド基盤への侵入手法に関する豊富な情報のおかげで、攻撃者やハッカーの参入障壁はどんどん下がっています。こうした事例が今後増えるのか気になります。

DRのRob Wright：あり得ますね。

DRのAlex Culafi：セキュリティ記者の立場で気になるのは、なぜもっと早く起きなかったのか、そしてこれは多発の始まりではないのか、という点です。特に、米国政府のサイバーセキュリティ関連の体制がまだ骨抜きのままに見える状況ではなおさらです。

DRのRob Wright：そうですね、いい指摘です。では最後に、非常に興味深い話題です。正確を期すため、見出しをそのまま読みます。New York Timesが最近、かなり大きな記事を出しました。見出しは「NVIDIA Chief Seen as Target of Chinese Spy Plot（NVIDIA首脳、中国のスパイ工作の標的か）」です。

手短に説明します。中国企業の幹部が、NVIDIAのCEOであるジェンスン・フアン氏と「親密な関係」にあったそうです。NVIDIAは現在、米国のAI産業とその成長を支える巨大企業です。このTimesのスクープは、米政府がこの幹部のアリス・フアン氏（ジェンスン・フアン氏とは無関係）が中国の協力者だと突き止めた経緯をたどっています。この女性は中国政府のために動き、NVIDIAのCEOに近づいたとされています。目的は、海外企業や中国へのNVIDIA製チップの販売について、米国の政策がどうなるか、販売が禁止されるのかを探ること、そしてAI政策全般に関する情報を得ることだったとみられます。非常に興味深い話です。しかも、ジェンスン・フアン氏は当時、彼女が監視されていることを知らなかったようです。かなり厄介な話で、私も言いたいことは山ほどありますが、Alexはどう思いましたか。

DRのAlex Culafi：このAI絡みの話はとんでもないですね。

DRのRob Wright：ははは。

DRのAlex Culafi：スパイ絡みの話もとんでもないです。数週間前に私が取り上げましたが、OpenAIの元エンジニアが、本社に秘密の録音機器を仕掛けたとして逮捕されました。サウジアラビア王族の依頼だった可能性があります。さらに、OpenAIが従業員に対し、企業秘密を引き出すための色仕掛け、つまり文字どおりの誘惑に乗らないよう教育しているという報道もありました。

DRのRob Wright：ええ。

DRのAlex Culafi：ジェンスン・フアン氏の件も、とんでもないとしか言いようがありません。もっと技術的で建設的なコメントはありますか。

DRのRob Wright：GoogleかOpenAIの件ですが、あれはOpenAIでしたよね。

DRのAlex Culafi：はい、サウジ絡みの件はOpenAIです。

DRのRob Wright：そうでしたね。ここには、外国の工作員や協力者が潜入して企業秘密や情報、政策の動きを盗み、先回りしようとする物理的なセキュリティ上の懸念があります。

興味深いのは、NVIDIAが「これは通常のことだ」と反論している点です。同氏は多くのCEOと会っているということです。記事にも下世話な内容はなく、恋愛関係や親密な関係があったとは書かれていません。あくまで「親密な関係」としか書かれていません。

それでも、私がNVIDIAや米政府の立場なら、もう少し情報を出すと思います。たとえば、本人に警告するためにどんな措置を取ったのか、先手を打つために何か手を打ったのか、脅威を緩和して中国の協力者と特定された人物と距離を置くために何をしたのか、といった点です。記事には、対処のために何をしたかという情報がほとんどありません。そこは少し気がかりです。外国の諜報活動や工作に対処する力が、十分ではないのかもしれません。しかし、自分たちが標的だという自覚は持つべきです。Alexの指摘どおり、OpenAI、Anthropic、Googleなど、AI業界のあらゆる企業が今や標的です。これは軍拡競争です。それ以外の何ものでもありません。

DRのAlex Culafi：ええ。ソーシャルエンジニアリングは依然として強力で、堅固で、ハッカーのエコシステムに欠かせない存在です。どんな技術が登場しても、結局はソーシャルエンジニアリングをより強力にするだけのようです。今週の1つ目と3つ目の話題には、そうした傾向が表れているかもしれません。

DRのRob Wright：本当にそうですね。興味深い1週間でした。「What We Missed」は以上です。Alex、ありがとうございました。

DRのAlex Culafi：Rob、ありがとうございました。