データベース侵害は、依然として組織にとって最大のサイバー脅威です

データベース侵害は、依然として組織にとって最大のサイバー脅威です

ここをクリック をクリックして、完全な分析をPDFとしてダウンロードします。

Executive Summary

影響を受ける被害者の数は年々増加しており、組織に対する今日の最も深刻な脅威のいくつかは、データベースの侵害とリリースです。 これらの侵害により、個人を特定できる情報(PII)、資格情報、支払い情報、専有データなど、何百万もの機密情報が侵害されます。 犯罪者は、フィッシング、マルウェア、ソフトウェアの既存の脆弱性の悪用、インサイダー脅威、パスワードの再利用など、さまざまな戦術、技術、手順(TTP)を通じてデータにアクセスし、セキュリティインフラストラクチャの穴を利用します。 組織のネットワークに侵入した後、犯罪者は自分でデータにアクセスしたり、ダークウェブのオークションでアクセスを売ったりする可能性があります。 その結果、収集された情報は、ビジネスメール詐欺(BEC)などの手法を通じて、さらなる侵害につながることがよくあります。

主な判断

背景

データベース侵害は、それ自体が攻撃であるわけではありませんが、攻撃に起因するものもあり、サイバー犯罪者がネットワークに不正アクセスした結果である場合もあります。 このアクセスにより、サイバー犯罪者は、特権の昇格、データ流出、およびその他の影響に対して大きな能力を得ることができます。 ランサムウェアのオペレーターは、侵害されたネットワーク内のデバイスを暗号化でき、ハッカーはPII、支払いデータ、PHI、企業文書、電子メールアドレス、役職と組織、ソーシャルメディアプロファイル、アカウントのユーザー名とパスワードを使用してデータベースを盗み出すことができます。 多くの場合、これらのリークは地下経済に新しいデータの流入をもたらし、さまざまな方法で使用できます。

データベース侵害、ハッキングの数は年々増加しています。 ノートンによると、2019 年に公開された侵害、ハッキングは 3,800 件で、41 億件の記録が公開されました。

2019年に報告された注目すべきデータベース侵害には、次のようなものがあります。

脅威分析

ビジネスメール詐欺

データベース侵害、ハッキング、およびネットワークへのアクセスと密接に関連しており、しばしば促進される別のTTP(戦術・技術・手順)は、ビジネス電子メール侵害、ハッキング(BEC)です。 この方法は、脅威アクターが侵害を試みるという点で、ソーシャルエンジニアリングやフィッシング手法に似ています 侵害、企業の正当な従業員または管理者になりすまして、企業を攻撃し、電子メールアカウントをハッキングしたり、侵害から取得したアドレスを偽装したり、データベースを攻撃したりします。 多くの場合、被害者は正規の電子メール アドレスを使用しているために実際の従業員と通信していると信じており、企業の機密情報を漏らしたり、サイバー犯罪者が管理する口座への電信送金を開始したりします。
FBIのインターネット犯罪苦情センター(IC3)によると、2017年2月27日現在、「BEC詐欺は成長し、進化し続けており、あらゆる規模の企業を標的にしています」。さらに、2015年1月以降、「特定されたエクスポージャー損失が1,300%増加し、現在総額は30億ドルを超えている」と指摘している。

昨年、ダークウェブで確認されたBECサイバー攻撃。 (出典:Recorded Future)

BECは、 個人からお金を盗むことを目的としたロマンス詐欺や退職金口座詐欺など、他のTTP(戦術・技術・手順)と組み合わせて実行されることが多く、場合によっては数百万ドルに及ぶこともあります。

侵害と販売、ステップバイステップ

これまで、ほとんどの脅威アクターは、データベースやその他の貴重な情報を抽出するために、企業のネットワークをハッキングする必要がありました。 現在、ハッキングや流出の多くは、アクセスを取得することを専門とする脅威アクターによってすでに行われており、この情報はダークウェブのフォーラムや市場で販売されたり、時には無料で提供されたりしています。 このネットワークへのアクセスは、多くの場合、企業データベースをハッキングするための最初のステップであり、PIIやPHI(個人健康情報)の盗難からランサムウェア攻撃、企業スパイまで、あらゆるものが関与するサイバー犯罪活動の多くの鍵となるのは、アクセスを取得することを専門とする高レベルの脅威アクターである可能性が高いです。 これらの犯罪者は、多くの場合、小さなチームで作業し、会社のネットワークへのアクセスを取得してからダークウェブで販売するまでの全プロセスを実行できます。 以下のサブセクションでは、このプロセスについて詳しく説明します。

  1. 侵害されたネットワークへのアクセスの販売
  2. データベースの販売
  3. 空きデータベースのダンプ
  4. サブスクリプション型サービスによる新規データベースおよび複合データベースの販売

1. 侵害されたネットワークへのアクセスの販売

政府、企業、教育機関、その他の機関の侵害されたネットワークへのアクセスの販売は、アクセスあたりの価格が数百ドルから数千ドルまでさまざまで、非常に収益性の高いビジネスになる可能性があります。 サイバー犯罪者は、侵害されたサードパーティソフトウェア、リモートデスクトッププロトコル、仮想プライベートネットワーク、インターネットルーター、Webシェル攻撃やPowerShell攻撃の実行、リモートアクセストロイの木馬の使用など、さまざまな方法を使用してネットワークにアクセスします。

ダークウェブのソースを分析した結果、サイバー犯罪者は主に以下の業界の組織を標的にしていることがわかりました。

被害者は、機会を狙うターゲット、脆弱性を持つ組織、医療機関、政府、教育機関などのPIIやPHIなどの特に豊富な分野を提供するセクター、または金融や電子商取引セクターなどの財務情報をターゲットとしているセクターの組み合わせです。

オークションによる販売

ダークウェブリソースで固定費で販売されている他の製品やサービスとは異なり、リストされている侵害されたデータの多くは、通常、オークションを通じて販売されています。 オークションは、参加者(脅威アクター)が妥当と考える価格を提供するダークウェブフォーラムで販売を行うための公正でオープンなメカニズムと見なされています。 たとえば、ダークウェブのトップレベルのフォーラムには、すべてのメンバーが従わなければならない厳しい要件があります。

ダークウェブフォーラムでのアクセス侵害販売の別のタイプは、上記の制限がなく、通常は買い手と売り手の間のプライベートな交渉である直接販売です。 直接販売の主な利点は、高度なプライバシーとセキュリティです(安全な通信方法を通じて、第三者の保証人なしで行うことができます)。

エスクローサービスによる販売

オークションに加えて、トップティアおよびミッドティアのフォーラムの大部分は、第三者(脅威アクターまたは自動化システム)が詐欺を防ぐために売り手と買い手の間の合意に従ってお金を受け取り、支払う普遍的なセキュリティメカニズムであるエスクローサービスもメンバーに提供しています。 ダークウェブ上のオークションには、エスクローサービスを使用するオークションには、通常オークションと自動オークションの2種類があります。

定期的なエスクローサービス

原則として、この機能は、保証人として機能する1人または2人の評判の良い脅威アクターまたはフォーラムのスタッフによって実行されます。 彼らのユーザー名と連絡先は、通常、フォーラムの「ルール」または「エスクロー」セクションに記載されています。 次のものを提供する必要があります。

自動(自動)エスクローサービス

このタイプのエスクローサービスは、多くのサイバー犯罪フォーラムの特別なセクションであり、脅威アクターが最小限のリスクで24時間年中無休で取引を行うことを可能にし、サービス手数料を請求しません。 ルールはフォーラムごとに異なる場合がありますが、オークションの主な手順は次のとおりです。

2. データベースの販売

データベース侵害は、ダークウェブソースの脅威アクター間で販売または共有されています。 脅威アクターは、これらのデータベースでよく見られるユーザー名とパスワードの組み合わせを使用して、一般的なオンラインサービスに対するクレデンシャルスタッフィング攻撃を行います。

原則として、サイバー犯罪者は侵害をすぐに発表せず、アクセスを収益化するための最良の方法を確立しようとしながら、ダークウェブでデータを販売するのに数か月待つこともあります。 侵害されたデータベースの多くは、全体ではなく一部で販売されています:たとえば、販売にはメールアドレスとパスワード、財務情報、PIIなどの組み合わせが含まれる場合がありますが、すべての情報が含まれているわけではありません。 実際にネットワークを侵害するすべての脅威アクターが、必ずしもその売り手であるとは限りません。 サイバー犯罪者は、セキュリティ上の理由から、複数の名前を使用したり、グループ内で活動したりして、侵害との関連性を難読化する戦略を使用します。 さらに、データベースへのアクセスは、標的となった企業のハッキングに直接関与していない個人によって販売されることが多く、代わりに主にプロキシとして働いています。

3. 無料データベースのダンピング

Recorded Futureは、ダークウェブフォーラムでアクセスとデータベースが販売されていることに加えて、ダークウェブのいくつかのフォーラムで公開されている複数の漏洩データベースも観察しています。

たとえば、ダークウェブ上のフォーラムの作成者兼管理者である悪名高い脅威アクターは、2017年から2018年にかけて取得した米国のさまざまな州の有権者データベースを公開し始めました。これには、有権者ID、氏名、住所、以前の住所、生年月日、性別、電話番号、投票者のステータス、投票者の履歴が含まれていました。 約20の州のデータベースが共有され、各州には数十万から数百万の一意のレコードが含まれていました。

4. サブスクリプション型サービスによる新規データベースおよび複合データベースの販売

4. サブスクリプション型サービスによる新規データベースおよび複合データベースの販売

一部の脅威アクターは、さまざまなアンダーグラウンドプラットフォーム、ファイル共有プラットフォーム、およびその他の利用可能なサービスで漏洩したデータベースを購入して収集し、サイバー犯罪者が暗号化されたものと暗号化されていないものの両方で保存された複合漏洩データベースを見つけることができるサブスクリプションベースのサービスを整理します。 これらのサービスは、データベースを頻繁に更新し、定期的およびプレミアムの階層型メンバーシッププランがあり、Telegramを介してカスタマーサービスも提供しています。 そのようなサービスの1つは、最初の月は64米ドル、その後の月は37ドルで利用可能でした。

ネットワーク侵害の軽減手法

Recorded Futureは、組織のWebサイトやネットワークを標的とした脆弱性の悪用から保護し、データベース侵害を引き起こすために、次の対策を推奨しています。

BEC緩和技術

FBIによると、これらの手順は、BEC攻撃による侵害、ハッキングのリスクを軽減します。

今後の展望

データ侵害は、組織の評判と財務の安定性に壊滅的な影響を与える可能性があり、侵害の結果として取得した情報とアクセスを使用して、さらなる悪意のある活動を促進する可能性があります。 データベース侵害の売却とそれに伴う情報の漏洩は、当面の間、主要なサイバー脅威の1つであり続けるでしょう。 侵害を専門とする高度な脅威アクターによるアクセスの販売は、BEC、脱税、フィッシング、ランサムウェアなど、関連する悪意のある活動を促進します。

Recorded Futureは、最も脆弱な業界と、このコモディティ化された活動の多くに関与している脅威アクターのリストを特定し、このレポートで概説されている緩和手法の実装を推奨しています。 さらに、エンティティは、ダークウェブオークション、ダークウェブフォーラムやマーケットプレイスでの販売スレッド、およびアンダーグラウンドのサブスクリプションベースのサービスを監視することにより、これらの脅威アクターのスレッド、投稿、および提供物を綿密に追跡することを強くお勧めします。