2024年～現在に至るマルウェア動向について
みなさん、こんにちは！
株式会社カチカのリモート＆コールドバックアップ業務担当の村島です！
もうお正月気分もすっかり抜けた頃合いだと思うんですが、皆様はいかがでしょうか。
実は私の実家には「餅つき機」というものがあります。私が小学校のころに親が買ったものですからもう何年あるのでしょうか。全く異常なく動き続けています。昔の日本製品は頑丈ですね。
ところがですね。母が「もう手首に力が入らないから餅がちぎれない。お正月の餅つきは今回で最後」と言い出しているんですね。
つきたてお餅美味しいのでちょっと残念なんですが…。
というわけで、お餅を一緒についてくれる方、募集中です。
では、今回もレッツスタディセキュリティ！なのです。
2024年はマルウェアが多かった
実は2024年はマルウェアが多かった年でした。大きなものだけ抜き出してつらつらと書いていきたいと思いますので、よろしくお願いいたします。
Change Healthcareでのランサムウェア事件
2024年2月21日、BlackCatと呼ばれるロシアのサイバー犯罪集団がアメリカのChange Healthcareに対するマルウェア攻撃で、6テラバイトを越えるデータを削除しました。
一応、Change Healthcareについて公式サイト的なものがないかと探してみたのですが、どうやらコミュニティしかないようです。どういう組織かと言いますと、ヘルスケア業界で世界最大級の決済処理会社です。この辺、健康保険というものが存在する日本の人間にはわからないところではあるのですが、まあわかりやすく言うと医療関係限定のクレジットカード会社みたいなものだと考えればおおよそ間違ってないみたいです。
そしてこのマルウェア攻撃によりアメリカの医療費請求が大きく滞留してしまい、医療機関、薬局、病院は財政的に大きな問題を抱え、患者は医療サービスを受けられなくなりました。やっぱり医療関係機関が狙われるわけですね。
Change Healthcare は UnitedHealth Group の子会社で、マルウェア攻撃に対し、UnitedHealth Groupは2200万ドルの身代金を支払っちゃったんです。だいたい34億7千万円ぐらいってことになるでしょうか。
Change Healthcareは「医療診断、検査結果など機密性の高い患者データが侵害された」と発表しました。このマルウェア攻撃後の調査によると、Change Healthcareのデータが流出した原因のひとつはUnitedHealth GroupがChange Healthcareのサーバーのひとつで多要素認証を有効にしていなかったことでした。
Change Healthcareは、マルウェア攻撃によりアメリカ人の1/3程度の機密性の高い医療データをダークWebに漏洩させられたと見積もっています。
つまり、身代金を払わされた上にデータが漏洩されるという、考える限り最悪の事件が起こってしまったわけです。
チケットマスター事件
これは結構話題になった事件なのですが、2024年4月2日にコンサートやスポーツ観戦、その他のイベントの販売会社であるチケットマスターに対して発生したものです。ShinyHuntersと呼ばれるハッキンググループが、電話番号、メールアドレス、クレジットカード番号、イベントのチケットなど、チケットマスターの5億人以上の顧客データを奪ったという責任を認めました。
ShinyHunters（しかしサイバー犯罪グループの名前はどこかなんかダサいですね）は、ダークウェブでデータを販売する代わりに、身代金として50万ドルの支払いを要求しました。日本円にして6900万円弱ってところですね。これを控えめだと感じてしまうのはもはや感覚がバグっているのでしょうか。
顧客のパスワードがデータ漏洩の一部として報告されなかったにもかかわらず、チケットマスターの顧客の多くは、チケットマスターのアカウントをより良く保護するために行動を起こし、パスワードを変更しました。チケットマスターのユーザーはみんな自己防衛おじさんなんでしょうか。
チケットマスターの親会社であるライブネイションは、調査を開始し、サードパーティ製のクラウドデータベースのひとつで不正なアクティビティを発見しました。チケットマスターは、マルウェア攻撃の被害に遭った顧客に通知し、銀行口座のお金の出入りを監視するよう知らせました。さらに、個人情報監視サービスの12ヶ月間無料クレジットを顧客に提供しました。
Ascension Hospital事件
2024年5月8日、ランサムウェア攻撃により、Ascensionのネットワークで異常なアクティビティが検出されました。
この攻撃にはサイバー犯罪グループであるBlack Bastaが関与しており、10州以上に約150の病院をもつカトリック医療システムに対して行われたものでした。
その結果、医師、看護師、医療従事者は、予約、健康記録、医療処方、処置などを記録する医療システムを利用できなくなってしまいました。
このマルウェア攻撃により、患者のプラベートなデータが侵害され、アメリカ全国の多くの臨床医が検査結果の紛失、投薬量の誤り、救急患者の受け入れ不能などを余儀なくされ、それは1ヶ月以上にわたりました。
医療従事者は、投薬の記録や患者に関する重要な最新情報を記録するために、Googleドキュメントやテキストスレッドを応急的に使用せざるを得ませんでした。
2024年6月14日までに、Ascensionは電子カルテ（EHR）へのアクセスを回復したと発表しましたが、同社のポータルが正しい情報に更新されるまで、患者データは一時的に利用できなくなります。
ABN AMRO事件
2024年5月29日、オランダの大手銀行であるABN AMROは、サードパーティのサービスプロバイダであるAddcommがランサムウェア攻撃の被害に遭ったため、データ漏洩に見舞われました。
この攻撃では、銀行のシステムが直接影響を受けていないにもかかわらず、権限のないユーザーが多くのABN AMROの顧客のデータにアクセスしました。専門家がこのサイバー攻撃を調査中ですので、どのような種類のデータがダークウェブで販売されたかについては現在のところ判然としておりません。
ABN AMROは、AddCommのランサムウェア攻撃によりデータの被害を受けた顧客に対し、権限のないユーザーがABN AMROの顧客のデータを使用したという証拠が見つかっていないにもかかわらず、連絡を取っています。
ABN AMRO の顧客すべてが影響を受けたかどうかは確認されていませんが、ABN AMRO の小売、企業、銀行部門の顧客は 500 万人を超えており、このデータ漏洩の被害に遭った可能性があります。 この攻撃の結果、ABN AMRO は、AddComm のサービスの利用を停止しました。
CDK Global事件
2024年6月18日、CDK Global大規模なマルウェア攻撃により、北米の自動車ディーラーが影響を受けました。 CDK Globalは、北米の何千もの自動車ディーラーに、販売、財務、在庫などを管理できるソフトウェアを提供しています。
米国の10,000以上の自動車ディーラーが、顧客の個人情報を盗んだサイバー犯罪グループBlackSuitの標的にされました。日本の出版大手会社である、KADOKAWAもこのブラックスーツにランサムウェア攻撃を2024年6月末から7月にかけて攻撃を仕掛けられ被害に遭い、2ヶ月近くサービスを停止する事件もありました。
この攻撃で盗まれた情報には、社会保障番号、銀行口座番号、自宅の住所、クレジットカード情報、電話番号などが含まれます。
この攻撃の結果、多くのディーラーがデジタルシステムなしで苦闘することになり、業務遂行にペンと紙を使うまでに逆戻りしました。 最初の攻撃から 1 週間後、CDK Global はマルウェア攻撃から回復する間、一時的にシャットダウンすることを顧客に伝えました。 7月初旬から段階的に自動車ディーラーのシステム復旧を開始しました。
やはり医療関係は狙われがち？
今回ご紹介しました2024年に起こったセキュリティ事件は、5件中2件が医療関係ということで、サンプル数が少なすぎることを重々承知の上申し上げますがなんと40％が医療関係をターゲットに行われたということになります。
そしてChange Healthcare事件とチケットマスター事件においては身代金を支払ってしまっています。
医療関係は緊急性が高く、さらにかかってくるものが命ということになりますので、お金で解決できるものならそうしてしまおう、と考える被害者も多いのではないかと思われます。
ずいぶん長々と文章が続いてしまっている「ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！」というのをひとつのシリーズとしてお届けしておりますが、身代金を絶対払うな！というのは実は方針ではないんですよね。最悪の選択肢として考慮に入れておかねばいけないものではあります。
ただ、身代金を支払ったところでデータの利用が再度利用できるようになることが保証されるものではありません。払ったら払ったで「あといくら払えば許してやるよ」的な吊り上げがあることは十分予想できますし、データの利用はできるようになってもデータの内容をバラ撒かれたくなければあといくら払え、という脅迫も予想できます。つまり「払う」という選択肢は、全ての主導権を相手に渡してしまうということになるわけです。
まあ「これしかもう残っていない」という選択肢として「支払う」ということも考慮しなければいけないこともあるわけですが、できればそういうセキュリティ事件の通報を受け付けている各機関、代表的にはサイバー警察庁などに通報して支払うことなしに事件を解決したいものです。
ランサムウェア対策の最適解
このnoteでは何度も書いていますし今後も書いていく予定ですが、ランサムウェアというものには「ツボ」がふたつあります。
このデータを再び読めるようにするにはカネ払え
このデータをバラ撒かれたくなければカネ払え
ですので、それぞれに対応策を行うとすれば
バックアップを取っておく
暗号化しておく
ということだと思うんですね。
くどいぐらい言いますけれども、まずは何はともあれバックアップです。現在、バックアップというとクラウドにアップするということが多いのですが、クラウドのバックアップは自分の組織のネットワークの一部という面もありますので、バックアップにも攻撃者によって暗号化がなされてしまい読むことができなくなることもあり得ます。
ですので、オフラインで保存しておくためのバックアップというのがやはり一番強力なバックアップなんだと思われます。
弊社で推奨しておりますバックアップの戦略としては、まずはクラウドバックアップを利用して下さい。クラウドバックアップは、現在ローカルで利用しているデータ等をほぼリアルタイムでバックアップできるということで可用性が非常に高いです。逆に弱点としては、自社のネットワークの一部という面がありますので、かなりの高確率でバックアップも暗号化されてしまうということです。
そして、クラウドバックアップだけでは十分なバックアップとは言えませんので、クラウド以外のバックアップも行って下さい。クラウド以外のバックアップとなると、現状HDDかSSDしかないと思います。
クラウドバックアップでは、リアルタイムにバックアップが行われている分、いざというときにバックアップ内でデータの整合性がとれなくなる場合があるんですよね。
というわけで、クラウドバックアップではない方のバックアップ、一般的にはオフラインバックアップなどと呼ばれますのでそう呼びますが（一方でクラウドバックアップはオンラインバックアップとも呼ばれます）いったんデータやプログラムの利用をすべて止めて、全てを外付けのHDDやSSDにバックアップします。それを、電源もデータケーブルも繋がないまま、厳重に保管しておきます。
こうしてオンラインバックアップとオフラインバックアップを組み合わせて万全の体制を敷くことをハイブリッドバックアップといいます。
オンラインバックアップのことはホットバックアップ、オフラインバックアップのことはコールドバックアップ、ハイブリッドバックアップのことは複合バックアップとも呼ばれます。
また、コールドバックアップの場合、直近のデータだけではなく何世代かにわたってバックアップを保存しておくことが可能です。近い方からリストアを始めて、直近がダメならばひとつその前、そのまたひとつその前…と、厳重な体制を敷くことができます。
バックアップの3-2-1ルールというものも考慮していただきたいことです。オリジナルを含めて3つ同じものを作り、2種類のメディアで、1個は遠隔地に置いておくと。弊社をご利用いただければこれが実現できます。
そして、普段から重要な情報を扱うときには、使うときにはほとんど意識することはありませんが実際には暗号化されているというタイプの暗号化ソフトがいくつか発売されています。そういうものを使っておけば「このデータをバラ撒いて欲しくなければカネ払え」という脅迫は意味をなさなくなります。
とにかく、ランサムウェア対策はいま喫緊の課題であるということはいま何よりも認識しておかなければならないことです。
マルウェアを送り込む最新の手口
いま猛威を振るっているのがLumma Stealerという情報盗取マルウェアです。
Lumma Stealerそのものはランサムウェアではなく、侵害されたシステムから機密データを盗むことを目的とした、こう言っては語弊があるかもしれませんがかなり性能の高いマルウェアです。
そしてそのターゲットは、ユーザーの認証情報、システムの詳細情報、ブラウザのデータ、暗号通貨のアカウント情報など多岐にわたります。
Change Healthcare事件と同じく、ロシア関連の情報窃盗マルウェアです。しかし、BlackCatによるものなのかどうかまではわかりませんでした。いずれにせよ、2022年半ばに発見されたこのマルウェアは、継続的に進化しておりましてロシア語のフォーラムで活発に配布されています。そう、配布されているんです。サービスとして。
URLは出さない方がいいと思いますので出しませんが、以前述べたようなRaaS（ランサムウェア・アズ・ア・サービス）の実例が出て来たということですね。
価格としては$250、$500、$1000、$20000とラインナップされています。$20000とは大きく出たものだと思いますが、これだけ払えばプログラムのソースコードももらえて、ソースコードを改変してオリジナルのものとして自分のものとして配布することもできるようです。あ、ちなみにこれら、月額料金です。もう完全に裏ビジネスとして成り立っちゃってるんですよね。
Lumma Stealerの侵入経路
Lumma Stealerがどうやって入ってくるのかということですが、まず使われるのがYouTubeなんですよね。ここでクラック版アプリケーションに関連したコンテンツを公開します。有料ソフトがタダで使えますよ、と言ってインストールガイドが表示され、URLへのリンクもあるんですが、これが短縮された不正なURLなんです。
そもそもYouTubeにそんなものをアップしていいのか問題なんですが、YouTuberのアカウントが狙われて、そのアカウントを使ってアップされているようです。
短縮URLとは？
短縮URLというのは何かということも一応説明しておきます。
URLというのは、特に特定の個人や場所などを指し示すURLの場合、長々しくなって例えばメールに記述できなかったりしますよね。
というわけでそれを略したURLを使うことができるサービスなんですが、例えばこのX.gdを見て下さい。
そこでこのnoteのトップページのURLを短縮するとこうなります。
同じサイトに行くはずのURLなのに、元のものとは全く違うURLになってしまうわけですね。
この特徴を利用して、悪いやつらは悪事を働いているというわけなのですよ。
また、GitHubというソフトウェア開発者のためのサイトがありますが、これを利用している人たちに架空の脆弱性に対処するように求めるメールが送られ、リンクをクリックすると偽のページに誘導されます。これもやはり、短縮URLサービスを使って一見フィッシングメールとはわからなくしているわけですね。
さらに、検索してゲームの海賊版やクラック版をダウンロードしようとするユーザーは、検索結果をクリックすると悪質なページが表示され誘導されるということもあります。
要は怪しいURLを踏んじゃった人ということです。
Lumma Stealerの侵入方法
「あなたが人間であることを認証する」とか「私はロボットではありません」のようなボタンをクリックするようにユーザーを欺くという手法が使われています。皆様も1回は目にされたことがあるはずです。↓こんなやつです。
これが偽物なんですね。私はロボットではありませんと。アンドロイドだよ、同じだ馬鹿者、なんていうやりとりをふと思い出しましたが、まあたいていの人はもう表示されたら機械的にチェックを入れてしまうのではないでしょうか。ちなみに英語版は↓こんな感じなります。
そしてこれらをクリックすると、悪意のあるスクリプト、つまりプログラムみたいなものがユーザーのクリップボードにコピーされるんです。
次に、ユーザーはWindowsキー+Rを押してスクリプトを貼り付けるように誘導され、マルウェアが実行される準備がされます。Windowsキー+Rとは「ファイル名を指定して実行」を呼び出すボタンですね。呼び出したら、そこにCTRL+Vを押すように指示が出ます。これはクリップボードからの貼り付けをするショートカットキーですね。そしてエンターキーを押して実行するように一連の指示が出るという感じです。
そして実行してしまったら、ユーザーが使っているいろいろなサービスのユーザー名やパスワードなどは抜き放題になります。こうなったらもう攻撃者の思いのままで、これを利用してランサムウェアをいろんなところにバラ撒くということも実に簡単に行えます。
Lumma Stealerに対する主な対策
もうこれは毎度毎度のことです。
最新のアンチウィルスとアンチマルウェアソフトウェアをインストールして、極力頻繁にスキャンの実施をして下さい。
そして、よくわからないリンクはクリックしない。このリンクをクリックして下さいというようなメールが、大きな会社を名乗るところから届いたんであれば、その会社のオフィシャルWebページから同じものが探せるかどうか確認して下さい。
特に短縮URLは原則クリックしないということを心がけて下さい。
また、不正なアプリをダウンロードしない、無料のコンテンツには注意するということも必要だと思います。
インターネットって、基本有料だと思っておいた方が良いと思います。あなたが利用したいサービスにあなたがお金を払うのではなく、あなたが利用したいサービスを利用するためにあなたに広告を見てもらうことによってスポンサーがお金を払っているのかも知れません。
そういうことはありますが、全くの丸裸のフリーソフトというのは基本的には例外的存在だと思っておいた方がいいと思います。
そしてこれはもう言い尽くされていることではあるのですが、メールやメッセージアプリにURLが書かれていた場合、発信元が信頼できるかを確認するということですね。信頼できるかどうか確定が難しい場合にはやめておいた方が安全です。
小括
今回だいぶ長くなってしまい、しかもほとんど文字で申し訳ありません。でも、結構重大なことを述べていますのでぜひお読みいただきたいと思います。
マルウェアの怖いところは、被害者の立場に立ってしまったら、加害者の立場にも同時に立つことになる可能性も非常に高いということなんです。
ネットも使い込んだら「これはこういう罠だな」ということが知識として蓄積されていくようになり、踏んだらどうなるかだいたいわかるようになります。私なんかは対策をした上で本当に思い描いた罠なのかどうか確認するためにわざと踏んだりしますが、基本そういうことはしないでください。
というわけで、重要なことだと思いましたし時間もありましたので書くことに致しました。
役立つ情報を今後とも発信していくつもりですので、今後ともよろしくお願いいたします。
目次
クラウドストレージと遠隔地バックアップの相互補完性
クラウドストレージのデータ消失に関する責任の所在
ディザスタリカバリ手順をあらかじめ決めておくべき理由
弊社でお取り扱いしておりますデータ・OSにつきまして
クラウドストレージのメリット・デメリット
Windowsからの乗り換え先になるか？ Linux MintとChrome OS Flex
バックアップの方法 オフライン・オンラインバックアップとは？
IPAの言うセキュリティ対策の基本を見ていきましょう！ その1
IPAの言うセキュリティ対策の基本を見ていきましょう！ その2
IPAの言うセキュリティ対策の基本を見ていきましょう！ その3
IPAの言うセキュリティ対策の基本を見ていきましょう！ その4
IPAの言うセキュリティ対策の基本を見ていきましょう！ その5
IPAの言うセキュリティ対策の基本を見ていきましょう！ その6
IPAの言うセキュリティ対策の基本を見ていきましょう！ その7
IPAの言うセキュリティ対策の基本を見ていきましょう！ その8
IPAの言うセキュリティ対策の基本を見ていきましょう！ その9
IPAの言うセキュリティ対策の基本を見ていきましょう！ ラスト
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その2
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その3
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その4
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その1
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その2
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その3
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その4
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その5
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その6
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その7
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その8
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その9
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その10
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その11
─事件を解決せよ─ CASE2：Webサイトのデータが消えた Part 1
─事件を解決せよ─ CASE2：Webサイトのデータが消えた Part 2
今日はバックアップに関する最近の話題をつらつら語りたいと思います
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その12
─事件を解決せよ─ CASE3：火事でオフィスが焼失 Part 1
─事件を解決せよ─ CASE3：火事でオフィスが焼失 Part 2
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その13（最終回）
今日はバックアップに関する最近の話題をつらつら語りたいと思います その2
オフサイトバックアップに関する最近の話題をつらつら語りたいと思います
バックアップがきちんとしていれば起きていなかった情報事故 その1
バックアップがきちんとしていれば起きていなかった情報事故 その2
中小企業のための簡単・安価なデータバックアップ戦略 その10
大企業における物理的媒体による遠隔地バックアップの重要性 その1
大企業における物理的媒体による遠隔地バックアップの重要性 その2
大企業における物理的媒体による遠隔地バックアップの重要性 その3
