トニー・ソプラノは知っていた。『ザ・ソプラノズ』のシーズン5第4話で、ポーカー仲間の一人がトニーに新しいキャデラック・エスカレードの感想を尋ねると、架空のマフィアであるトニーはこう答える。「最高だよ。あのグローバル・ポジショニング［システム］を外してからな。」
まあ、彼の言葉は「システム」よりもう少し刺激的だったが、要するにトニーは追跡される危険性を理解していたのだ。
私たち一般人は、トニーほど居場所が特定されることを気にする必要はないかもしれない。しかし、ジオロケーションがどれほど危険になり得るか、マフィアでなくても理解し、自分自身を守る対策を取るべきだ。
見えない攻撃ベクトル
スマートフォンのピン、業務アプリケーションのチェックイン、IPアドレスの検索――これらすべてが、脅威アクターが悪用可能なジオロケーションの痕跡を生み出している。
サイバー犯罪者はジオロケーションデータを使い、地理的にターゲットを絞った攻撃を行う。これにはフィッシングキャンペーンや、マルウェアを含む可能性のあるローカル広告の大量配信などが含まれる。ジオロケーションは精密な攻撃を可能にし、位置情報を武器に変えるのだ。
これらの攻撃が特に巧妙なのは、「浮遊するゼロデイ」として設計されている点だ。つまり、マルウェアは目的の地理的ターゲットに到達するまで完全に無害なままでいられる。悪意あるファイルは、ジオロケーションによるトリガーが作動するまでネットワーク内を無害に漂う。
そして、バン！ サイバー攻撃が発動する。残念ながら、発動するまで検知はほぼ不可能だ。
Stuxnet：サイバー攻撃革命の始まり
ジオロケーションを利用したターゲティングの最も悪名高い例は、もちろんStuxnetだ。これはジオロケーション攻撃の代表的な事例である。このワームは、イランの核施設にある特定の産業用制御システムに遭遇したときだけ作動する、非常に特殊なマルウェアペイロードを含んでいた。
Stuxnetはイランの核遠心分離機の約5分の1を破壊し、数十万台のコンピュータに感染し、1,000台の機械を物理的に故障させた。
Stuxnetに触発された攻撃は、この15年で大きく進化した。ジオフェンシングは標準的な攻撃手法となった。現在も進行中のAstarothマルウェアキャンペーンは、この進化を象徴している。この攻撃は明らかにブラジルを標的としており、感染システムの91％が同国に集中している。
また、このマルウェアは特定の業界も狙い撃ちし、攻撃の27％が製造業組織、18％がIT業界を被害に遭わせた。
ジオロケーション攻撃は従来の防御策では捉えにくい
なぜジオロケーションデータは攻撃の燃料としてこれほど効果的なのか？それは、超パーソナライズされた攻撃を可能にし、ソーシャルエンジニアリングを強化するからだ。SideWinder APTグループはこの手法を巧みに使い、ジオフェンスされたペイロードと組み合わせたスピアフィッシングメールで、バングラデシュ、パキスタン、スリランカなど特定の国の被害者だけが悪意あるコンテンツを受け取るようにしている。
ジオロケーションは、サイバーセキュリティ防御でも重要な役割を果たしている。地理的に離れた場所からの不審なログイン試行を特定し、アカウント乗っ取りの可能性として警告できる。しかし、サイバー犯罪者は位置情報を操作して「通常」の行動パターンを偽装し、その防御をすり抜けて攻撃を仕掛けることができる。
マネージドサービスプロバイダー（MSP）やIT部門は、仮想プライベートネットワーク（VPN）、匿名化、暗号化がジオロケーション攻撃に対して十分な防御になると考えがちだ。これらの対策は有効であり、必要不可欠だが、それだけでは不十分だ。
高度な脅威アクターはすぐに適応し、ボットネットを使って一般的な防御策をすり抜けて悪意ある活動を行う。
高度標的型攻撃（APT）グループは、地理的に分散しているように見えるインフラを維持することで、従来の防御策を無効化する。裏では、暗号化されたチャネルを通じて攻撃を調整できる。
位置情報に対応した脅威環境への対策
しかし、MSPやIT担当者がジオロケーション攻撃に対して無力なわけではない。従来の境界防御を超えた多層的なアプローチが必要だ。組織が自分たちを守るためには、以下のような対策が有効だ：
- 異常な場所からの活動を監視しつつ、運用の柔軟性を保つ強力なエンドポイント検知システムを導入し、サイバー犯罪者のトリックに対する脆弱性を低減する。
- 偽の位置情報を持つデコイシステムを展開し、攻撃者を欺き、彼らのターゲティング基準や手法に関する情報を収集する。
- ユーザーやシステムごとに位置情報のベースラインパターンを構築し、侵害や攻撃準備の兆候となる異常な地理的活動を迅速に検知できるようにする。
- 位置情報に基づく認証や認可の判断はすべて潜在的に侵害されているとみなし、地理的位置以外の複数の認証要素を要求する。
位置情報ベースのサイバー攻撃の未来
ジオロケーションを利用した攻撃の脅威は、今後さらに深刻化するだろう。IoT（モノのインターネット）の導入が拡大し、エッジコンピューティングが普及するにつれ、ジオロケーション攻撃の対象範囲はますます広がる。
人工知能とジオロケーションデータの融合により、さらに高度な攻撃手法が生まれるだろう。機械学習アルゴリズムは、位置情報ベースの攻撃に最適なタイミングやターゲットを特定でき、ディープフェイク技術はソーシャルエンジニアリング攻撃のために説得力のあるローカルコンテキストを生成できる。
だからこそ、組織は現在の脅威環境において、位置情報インテリジェンスが強力な防御手段であると同時に重大な脆弱性でもあることを理解しなければならない。エンドポイント保護の強化や、認証・認可の強化への投資は不可欠だ。
組織はジオロケーションシステムでトニー・ソプラノのように極端になる必要はないが、ジオロケーションに関する脅威とその最小化方法を理解する必要がある。
TRUについて
Acronis Threat Research Unit（TRU）は、脅威インテリジェンス、AI、リスク管理を専門とするサイバーセキュリティの専門家チームです。TRUチームは新たな脅威の調査、セキュリティインサイトの提供、ITチームへのガイドライン・インシデント対応・教育ワークショップの支援を行っています。
Acronisによるスポンサー記事・執筆