セキュリティ
CERT-INがAI活用型攻撃の「大幅な激化」を警告、被害組織が防御強化を試みた後にも攻撃が発生
インドのコンピュータ緊急対応チーム（CERT-IN）は、同国の金融サービス業界に対し、「AI支援型の金融系脅威アクター」による攻撃が「大幅に激化している」と警告しました。このアクターは、対策に失敗した被害組織を再び標的にしているといいます。
CERT-INは10月にこの攻撃を初めて検知し、アドバイザリを公表しました。デジタル融資プラットフォーム、フィンテック企業、決済サービスプロバイダー、ウォレット事業者に対し、攻撃者がインターネットに公開されたアプリケーション、露出したAPI、特権エンドポイントを狙っていると注意を促しています。攻撃者は侵入に成功すると、決済APIを悪用して資金を盗もうとします。
CERT-INは木曜日、更新情報を公表しました。それによると、攻撃の成功例が引き続き報告されており、過去のインシデント後にシステムの修復を試みた組織も被害に遭っています。
CERT-INは「同じ組織が意図的に再び標的にされています。対策が不完全だった場合も含まれます。攻撃は、祝日、週末、その他の監視が手薄になる時間帯に合わせて実行され、検知と対応を遅らせています」と警告しています。
CERT-INは、この攻撃者に名前が必要だと判断し、「CRAFTY FALCON」と命名しました。
同組織はまた、このグループがAIで強化されたツールを使用していることも明らかにしました。ペネトレーションテストツール「ARTEX」、攻撃対象検索エンジン「Cairn」、フレームワーク「CyberStrikeAI」などです。いずれも、中国語話者とみられるユーザーとの関連が指摘されています。
CRAFTY FALCONはまず、テストや開発に使われているインターネット公開環境を探します。そこで共有認証情報、トークン、ネットワーク経路などの手がかりを見つけ、本番システムへ侵入を広げます。
侵入に成功すると、このグループは被害組織のアプリケーションを書き換え、不正なAPI呼び出しなどを実行させます。被害組織の防御は、APIを呼び出すのは正規のアプリだけだという前提に立っています。そのため、書き換えられたアプリによる活動は攻撃として検知されません。
被害組織が攻撃を疑ったとしても、対処すべき負担は大きいままです。CERT-INによると、CRAFTY FALCONは「機能的にほぼ同一の亜種を短期間で次々に改良して」作り出しており、これは「AI生成コードと、AI支援による反復的な開発に共通するパターン」だといいます。
このグループは、新たに発見された脆弱性もすぐに悪用し、攻撃の鮮度を保っています。
足がかりを得ると、約0.01ドルの少額決済を実行して攻撃が機能するかを試します。送金が成功すれば、より高額の決済に移ります。標的が暗号資産取引所や仮想デジタル資産サービスプロバイダーの場合は、ウォレットの鍵を盗み、暗号資産ウォレットを空にします。
CERT-INがインド企業に示した対策には、イベントのログ記録、異常のリアルタイム監視、アラート送信の能力向上が含まれます。そのため、オブザーバビリティツールのベンダーは、今日からインドの営業チームを動かし始めることになりそうです。CERT-INはさらに、テスト環境をインターネットに公開しないこと、クラウドリソースへのアクセスを制限することも求めました。CRAFTY FALCONは、攻撃の実行にクラウドリソースを好んで使うためです。
CERT-INは、攻撃が「活発で、なお激化している」ため、24時間365日の監視が必要だとも警告しています。
興味深いのは、アドバイザリが銀行、金融サービス、保険にまたがる「組織」への攻撃に言及しながら、攻撃被害の報告があったとして名指ししているのが、前述のような業態だけだという点です。
The Registerがこの点を指摘するのは、インドには文字どおり数千の銀行があり、その多くが小規模な事業者で、基本的なセキュリティ対策すら欠いていることがあるためです。CRAFTY FALCONが活動範囲を広げるなら、インドは標的の宝庫となります。®
