見出し画像

看板が消えても、手口は消えない ── UNC6671を「名前ではなく行動」で読む【今週のセキュリティを、教養で読む #13】

AOI Security Consulting

サイバー犯罪グループが「解散した」と聞くと、少し安心しませんか。

脅威が一つ消えた。監視対象が減った。次の相手に備えればいい。

ところが、8月7日にGoogle Threat Intelligence Group（GTIG）が公開した報告は、その安心を疑う材料を示しました。データ窃取と恐喝を行うUNC6671は、BlackFileというブランドの引退が語られた後も、Redact、Pink、Helix、Falconなど複数の看板で活動を続けていたとみられます。

名前は増えました。しかし、入口と目的は驚くほど同じでした。

今週はこの動きを、「攻撃者の名前」ではなく「繰り返される行動」で読む必要性から考えます。

今週、何が起きたか

GTIGによれば、UNC6671は企業のITヘルプデスクを装って従業員の個人携帯へ電話し、「緊急のセキュリティ移行」や「パスキーの登録」を促します。案内先は本物そっくりのログイン画面です。そこで認証情報やMFAのトークンを中継し、Microsoft 365やOktaなどのクラウド環境に入り、スクリプトでデータを持ち出します。

BlackFile、Redact、Pink、Helix、Falcon。恐喝時の看板は違っても、電話、偽サイト、セッションの奪取、SaaSからの持ち出しという流れは共通していました。GTIGは、共有インフラや同一のフィッシング用テンプレート、標的の重なりから、これらの関連を追っています。

重要なのは「新しい犯罪組織が五つ現れた」ことではありません。

一つの運用モデルが、看板を替えながら生き残っていることです。

碧コンサルの視点：人は、名前があると別物だと思う

人間の認知には、複雑な現実をカテゴリーに分けて理解する働きがあります。名前を付けることで、世界は扱いやすくなる。これは組織のリスク管理にも欠かせません。

ただし、カテゴリーには副作用があります。名前が違えば実体も違う、名前が消えれば実体も消えた、と感じやすいのです。哲学では、抽象的な分類を実在する物のように扱うことを「実体化」と呼びます。

セキュリティでこれが起きると、組織図や台帳は整っているのに、防御が分断されます。

「BlackFile対策」「Redact対策」と案件を分ける。担当者もレポートも別になる。経営会議ではグループ名の増減が説明される。ところが攻撃者は、同じ電話台本、同じ偽サイトの型、同じクラウド持ち出し手順を再利用している。

これは飲食店の看板だけを見て衛生状態を判断するようなものです。店名が変わっても、厨房、仕入先、調理手順が同じなら、見るべきリスクも同じです。

経営判断で必要なのは「敵の正体を完全に当てること」ではありません。誰であっても繰り返す行動に、同じ防御が効く状態を作ることです。

脅威情報の価値は、名前を覚えることではなく、防御を再利用できる形に翻訳することにあります。

あなたの組織では？

今回の報告は、最新の攻撃グループ名を暗記せよ、という話ではありません。むしろ逆です。名前が変わっても崩れない防御を持てているかを確認する機会です。

  1. インシデントを「誰が」ではなく「何をしたか」で分類していますか。

攻撃者名が不明でも、音声フィッシング、MFA再登録、異常なSaaSアクセス、大量のファイル閲覧という行動なら共有できます。

  1. ヘルプデスクからの緊急依頼を、別経路で確認できますか。

個人携帯への電話、MFAやパスキーの再設定、外部サイトへの誘導。この三つが重なった時に、社員が公式窓口へ折り返せる導線が必要です。

  1. 「ログイン成功」を安全の証拠にしていませんか。

正規アカウントでも、短時間の大量閲覧や通常と異なる端末・地域・スクリプト利用は行動として異常です。認証の後を見る監視が必要です。

明日からできることは一つです。

直近の脅威レポートから攻撃者名を消し、「電話」「偽画面」「認証変更」「データ持ち出し」だけで一枚に書き直してください。

その一枚が、別の看板にも使える防御設計になります。

もっと深く知りたい方へ

今回のテーマは、無料連載「教養としてのサイバーセキュリティ Season 3」が扱う、組織の認知バイアスと直結しています。人は、見慣れた分類や報告形式によって、同じ構造を別の問題として処理してしまいます。

また「日常の盾」では、一人情シスの楓が、限られた人員の中で脅威情報を現場の行動へ翻訳します。すべての敵を知ることはできなくても、確認経路、認証、ログ、権限の基本動作は整えられる。その現実的な守り方を物語で描いています。

攻撃者のブランドは、彼らが作る物語です。

防御側まで、その物語に合わせて組織を分断する必要はありません。

看板ではなく、行動を見る。その視点が、次の名前にも使える防御を残します。

碧（AOI）セキュリティコンサルティング
戦略的セキュリティ・コンサルタント。

#ビッシング #MFA #クラウドセキュリティ #脅威インテリジェンス #組織論 #サイバーセキュリティ #セキュリティ #碧コンサルティング #AOISecurity

参照ソース（公開前確認用）

いいなと思ったら応援しよう！