ダークサイド (ハッカー集団)
From Wikipedia, the free encyclopedia
拠点
.svg)
ダークサイドは東ヨーロッパ、おそらくロシアに拠点を置いていると考えられているが、著名な他のハッカー集団とは異なり、ロシアの諜報機関が直接運営しているとは考えられていない[5][8]。同グループも「我々を特定の政府と結びつけて、動機を探す必要はない」と否定している[9]。
セキュリティ専門家は、このグループは「ロシアで増殖・繁栄している数多くの営利目的のランサムウェアグループの1つ」であり、ロシア当局から暗黙の承認を受けており、外国をターゲットとする限り、その活動を容認されていると述べている[8]。
分析会社チェイナリシスによると、暗号資産犯罪においてロシア圏が「大きなシェア」を占めているという。2020年はロシア製のランサムウェアによる被害額が全体の86％、2021年は92％を占めていると推計している[10]。
FBIのレイ長官は「最近のランサムウエア攻撃は、FBIが調査中の約100種のランサムウエアのほんの一部にすぎない。100種のランサムウエアが、米国で発生した複数のランサムウエア攻撃に関与している。そしてロシアは、多くのランサムウエア犯罪に携わる者の温床となっている」と発言している[11]。
ターゲット
ダークサイドの使用するランサムウェア「DarkSide」は、システムの言語設定をチェックすることで、特定の地域にいるターゲットを回避している。除外リストには、独立国家共同体（ソビエト連邦の崩壊時に、ソ連を構成していた15か国のうちバルト三国を除く12か国によって結成された国家連合体）の12カ国の言語に加えて、シリアのアラビア語が含まれている[12]。
この言語チェック機能は、ランサムウェアのインスタンスを構築する際に無効にすることができ、そのようなバージョンの1つが2021年5月に観測された[13]。
ファイア・アイによれは、ダークサイドはこれまでに15カ国以上の企業や組織を狙って攻撃をしており[14]、トレンドマイクロの調査によると、2020年8月から2021年4月までの間に、「DarkSide」が世界で800台弱検出されている[15]。 ダークサイドが最も標的としている国はアメリカであり、500件以上検出されている。それから、フランス、ベルギー、カナダと続く[16]。 なお、同期間の日本での検出台数は3台と非常に少なかった[15]。
マカフィーが観察した25か国のうち攻撃の影響を受けたデバイス数（100万台あたり）が多いのは、イスラエル（1573.28）、マレーシア（130.99）、ベルギー（106.93）、チリ（103.97）、イタリア（95.91）、トルコ（ 66.82）、オーストリア（61.19）、ウクライナ（56.09）、ペルー（26.94）、アメリカ（24.67）の順である[17]。
イメージ戦略
言語による除外の他に、保健センター、学校、および非営利団体などの施設は攻撃対象から除外されている[18]。 ダークサイドは公式サイトで、「病院、学校、非営利団体、政府ではなく、多額の身代金を支払う余裕のある企業を狙う」ことを公言している[19]。
また、同グループは身代金として奪った2万ドルを2020年10月に慈善団体に寄付したと主張しており[15]、義賊の「ロビン・フッド」のようなイメージを作ろうとしているとされる[3][20]。 だがCybereasonによると、その寄付金の出所が盗まれた仮想通貨だったため、複数の慈善団体から受け取りを拒否されたという[21]。
ビジネスモデル
ダークサイドは大きく分けると、ランサムウェアを開発するグループと、｢パートナー｣と呼ばれる外部の実行役ハッカー（アフィリエイト）に大別される[2][22]。積極的な宣伝を通じてアフィリエイトパートナーを募り、攻撃を実行させる[14]。
ダークサイドが開発した「DarkSide」を使用するにはアフィリエイターになる必要があり、それには審査で合格しなければならない[1]。加入できた者はパートナーと認められ、RaaSの管理パネルへのアクセス権が与えられる[1]。そこからランサムウェアのある程度のカスタマイズや、身代金の管理まで可能である[15]。アフィリエイトプログラムにはソフトウェアや仕様書と、使い方の練習方法などを含む「ツールキット」が提供される[23]。
そしてこのツールを使用し身代金を手に入れることができた場合、その一部をダークサイドに納めるというビジネスモデルである[6][24][19]。 ダークサイドの取り分は、身代金が50万ドル未満の場合は25％、500万ドルを超える場合は10％とされている[25]。
RaaS
この様な、他のサイバー犯罪者が使用するマルウェアを開発・販売するビジネスモデルは、IT業界で普及している業務ソフトの販売手法「SaaS」（ソフトウエア・アズ・ア・サービス）に似ていることから、「RaaS」（ランサムウェア・アズ・ア・サービス）とも呼ばれている[2][26]。 セキュリティ企業のMandiantは、DarkSide RaaSプラットフォームの異なる関連会社を示す可能性のある5つの脅威活動のクラスタを記録しており、そのうちの3つ（UNC2628、UNC2659、UNC2465）について説明している[13]。
RaaSによって、スキルを持たない素人でもツールを購入すれば簡単にサイバー攻撃を仕掛けることが可能になった。南カリフォルニア大学のノイマン准教授は「ツールの開発者はパートナーの犯罪行為を手助けしながら、継続的な収益を得ることができる」と両者が相互依存の関係にあると指摘している[2]。
バイデン政権の担当官は、「（ハッキング技術が）サービスとして提供され、収益が分配されるという、新しくて非常に厄介なタイプだ」と語った。ランサムウエアは猛威を振るっており、チェイナリシスによると2020年の身代金総額は3億5000万ドルに達した。これは前年の4.1倍にあたる[2]。 さらに実際の被害額は、これをはるかに超えるとも指摘されている。ハッキングされたり情報を盗まれたりすることは、自社のセキュリティーの甘さを示すに等しく[27]、また犯罪集団に金銭を渡してしまった負い目から、その被害を伏せることが多いためである[10]。
歴史
創設
ダークサイドが最初に注目されたのは2020年8月のことだった[28]。セキュリティ情報サイトのKrebs on Securityによると、ロシア語のハッキングフォーラムで活動が確認され、2020年11月には「exploit.in」や「XSS」でRaaSの宣伝をしていたという[1]、ハッカー集団としては新興勢力である[14]。
「DarkSide」は、ロシアの別のハッカー集団であるREvilが使用している ランサムウェアに類似している。REvilのコードは公開されておらず、これはダークサイドがREvilから派生したグループ[29]、またはREvilとパートナー関係であることを示唆している[6]。
ダークサイドは通常のブラウザではアクセスができない、いわゆるダークウェブ上に自分たちのサイトを置き、これまでのハッキングや盗み出した情報などの「業績」を並べている[23]。 このほか、ヘルプや広報、被害者向けの電話窓口[2]、ほかにプレスセンターも有しており、一見するとオンラインサービスのプロバイダーのようにも見える[30]。さらにジャーナリストや複合化会社と提携を試みていることから、カスペルスキーはこのグループを「企業」と表現した[4]。ダークサイドは、ログイン情報を盗み取る「アクセス・ブローカー」とも取引しているとされている[23]。
狙われた企業
以前は無作為にウイルスをばらまくサイバー攻撃が多かったが、近年は事前に企業を絞り、時間をかけて攻撃する「標的型攻撃」が主流となっている[27]。
ダークサイドが標的とするのは主に大企業で、NASDAQなどに上場している企業を狙うと主張している[14]。2020年8月から2021年4月までの間に、ダークサイドがハッキングしたと公開していた企業数は99社で、IT、金融、製造などが多い。日本企業も2社が情報を公開されている[15]。
ダークサイドは2020年12月から2021年5月まで、アメリカの石油・ガスのインフラを攻撃した[8]。2021年3月にはITマネージドサービスプロバイダーのCompuCom Systemsを攻撃し、復元費用は2,000万ドルを超えた。また、カナダのDiscount Car and Truck Rentals社や[31]、日本の東芝の子会社である東芝テックも攻撃を受けた[32]。ドイツのブレンタークからは身代金の搾取に成功した[22]。
被害額
2021年1月にはアメリカのある大企業を脅迫して3000万ドル（約30億円）を要求し、交渉の過程で減額には応じたものの、多額の身代金を手に入れたという[14]。
要求する身代金は、20万ドルから200万ドルの範囲が多い[28][29]。 また事前に攻撃対象の財務状況を調査するケースが増えている。あらかじめ調べておくことで、被害者が支払える可能性のある最高額を設定できるためである[33]。
さらに盗んだ情報の中からサイバー保険に関する情報を見つけ出し、被害者が受け取る保険金の額を知ることで交渉を有利に進め減額を拒む[14]。
暗号通貨セキュリティ企業のEllipticは、2021年3月にダークサイドが開設したビットコインウォレットのトランザクション履歴を分析し、少なくとも47の被害企業から9,000万ドル以上（約100億円）を受け取っていたことを突き止めた。身代金の平均支払い額は190万ドルだという[34]。
カスペルスキーのグローバル調査分析チームによると、近年の主流であるデータデータを暴露する手法により、標的から身代金を獲得する確率を向上させ、企業にとっては信用の失墜などに繋がることもあり、身代金の支払いに応じてしまうことも多いという[35]。
受け取った金は異なるウォレットに送金されているのがブロックチェーン上で確認されており、身代金の分配がされていたと思われる。「DarkSide」開発チームが17％にあたる1,550万ドル（約16.9億円）を受け取り、残額の7,470万ドル（約81.4億円）は様々なパートナーに支払われたという[36]。
復旧の信用度
これまではランサムウェアの被害に遭った企業が身代金を支払ったとしても、データを元に戻せる（暗号化されたデータの復号）という保証はなかったため、支払いに応じる企業も少なかった。 電子メールセキュリティ対策を手掛けるMimecastによると、攻撃された企業のうち身代金の要求に応じたのは52％。しかしデータを復元できたのはその内の66％にとどまり、残る34％は身代金を支払ってもデータを戻すことはできなかった[37]。 英セキュリティ企業Sophosが世界30カ国の中堅組織を対象に実施した別の調査によれば、身代金を支払ってデータを全て取り戻すことができたケースはわずか8％だった[37]。
身代金を支払うメリットはそれほど低かった。だがダークサイドはそれを逆手に取り“信用”を売りにした。「我々に身代金を支払えば暗号解読ツールを受け取れることを知っている。だから身代金の支払いに応じる確率が非常に高く、交渉にかかる時間も極めて短い」とブログで主張している[14]。
Ellipticによると、ダークサイドの被害に遭った企業の半数が身代金を支払っていたことが判明している[26][25]。
.png)
