孤独なオオカミから組織犯罪へ - サイバー脅威はどこから来るのか
脅威アクターの種類は一つではなく、それぞれ異なるスキルを持っています。どの脅威を心配する必要があり、どれがほとんどまたは全く脅威をもたらさないのでしょうか？私たちがそれを説明します。
サイバー犯罪者の異なる層
物理的な世界には、さまざまな階層の犯罪者が存在します。明らかに、ダイヤモンド強盗を計画し実行する者と、ハンドバッグを奪って通りを駆け下りる者は同じではありません。サイバー犯罪者についても同じことが言えます。自宅のベッドルームにいる子供という人気のあるハリウッドの典型から、国が支援する高度な持続的脅威グループまで、さまざまなタイプの脅威アクターが存在します。これらは、国際的なサイバー犯罪やサイバー戦争のために攻撃的および防御的に使用されます。
2018年8月、脅威アクターのチームがブリティッシュ・エアウェイズのフライト予約ウェブサイトをホストしていたウェブサーバーに侵入しました。サーバーへのアクセスを取得した後、彼らは一時停止し、偵察を行いました。どのソフトウェアモジュールがどの機能を果たし、さまざまなモジュールがどのように通信し、相互認証を行っているかを特定しました。ターゲットとするモジュールを特定した後、彼らはそのモジュールの代替品を作成し、侵害されたものと入れ替えました。
ウェブサイトは予想通りに機能し続けたため、疑いは持たれませんでした。予約は正しく処理され、チケットが発行され、乗客は遅延や問題なくフライトに搭乗しました。一方で、代替モジュールは通過した個人データのコピーを保持していました。
すべての名前、住所、メールアドレス、パスポート番号、クレジットカードの詳細は、犯罪者によって回収されるのを待って隠されていました。不正モジュールは2018年8月末から9月初めまで活動しており、その期間中に38万件の個人データが収集されました。
この種の標的型攻撃には、さまざまなスキルが必要です。ターゲットを選定し、ウェブサイトを侵害し、ウェブサイトを分析して理解し、侵害されたモジュールを開発してウェブサイトの実行チェーンに挿入する必要があります。たいていの場合、これには複数の個人のチームが必要です。
各チームメンバーは攻撃中に活かせる特定の専門分野や特技を持っています。その作戦は給与支払いの対象でなければなりません。サイバー犯罪者はまた、攻撃から利益を得るために必要な関連する現実世界の犯罪活動にも精通している必要があります。彼らはこの事業からお金を得ることができ、たとえば足取りを隠す必要があります。暗号通貨での支払いがあっても、彼らは得た利益をマネーロンダリングする必要があるかもしれません。調整ができず、方向性を見失っているかもしれませんが、彼らは賢く、技術に優れたオペレーターです。
これは明らかな疑問を引き起こします。そのような一流の高度なスキルを持つサイバー犯罪者が平均的な中小企業(SME)を攻撃するでしょうか？いいえ、もちろんありません。しかし、それは平均的な中小企業が心配することがないという意味ではありません。
ダークウェブには、技術の未熟なサイバー犯罪志望者のために道具やサポートを提供し、実際のサイバー攻撃を実行するための洗練されたサービス業が繁栄しているため、ほぼ誰でもサイバー犯罪を実行できるようになっています。IT、サイバーセキュリティ、プログラミングに関する幅広く深い知識は、もはやこのゲームに参加するための要件ではありません。
必要なのは犯罪の意図とインターネットへのアクセスだけです。
異なる階層の定義
トップティア
最上層の脅威関与者は高度で洗練されたスキルを持ち、対象となる分野について深い知識を有しています。彼らは、高価値でしばしば著名なターゲットを攻撃することに専念しています。キャセイパシフィック、ブリティッシュ・エアウェイズ、エクイファックス、ヤフーに対する攻撃は、最上層のサイバー犯罪者による攻撃の例です。
ミドルティア
中間層の脅威アクターは、ITおよびサイバー犯罪のスキルをある程度持っています。通常、これらの脅威アクターは企業を標的にせず、慎重に実行された攻撃を行います。彼らの標的は、感染させることができる相手です。
最上位の脅威アクターがスナイパーのようであれば、中位の脅威アクターは目隠しをした機関銃手のようです。彼らは無差別に撃ちまくり、誰を撃ったのかを後で確認します。彼らは大小を問わず、誰からでも金を強要します。
彼らは、ダークウェブからダウンロードしたソースコードや購入したマルウェアキットを使用して、新しい亜種や既存の脅威のバリアントを作成するために十分なスキルを持っています。彼らはダークウェブ上の多くのサイバー犯罪サービスプロバイダーの一つを利用するかもしれませんが、それは下位の脅威アクターの領域である傾向があります。
底辺
最低レベルは一番下の層です。彼らは、実際のスキルを持つハッカーによって軽蔑的に「スクリプトキディ」と呼ばれています。これらのなりすましサイバー犯罪者は、基本的な指示に従うことはできますが、攻撃を行うためにあらかじめ用意された、すぐに手に入るツールを使用することに制限されています。彼らは自分自身のために新しい脅威を作り出すためのスキルと知識を持っていません。
彼らはしばしばダークウェブ上のサイバー犯罪サービスプロバイダーを利用します。中間層と同様、彼らは誰を感染させたり恐喝したりするかには気にしません。彼らのマルウェア攻撃にはほとんど無関心です。
ボトムティアの脅威アクターによってよく使用される攻撃の一つは、分散型サービス拒否攻撃（DDoS攻撃）です。この攻撃のカテゴリーは、実施が簡単で、DDoS攻撃を実行するために必要なソフトウェアが通常のインターネット上で無料で見つけられるため、ボトムティアに人気があります。DDoS攻撃は、特定の被害者を標的にする必要があります。
もし一番上の層がスナイパーのようで、中間層が機関銃手のようであれば、一番下の層は拳銃を見つけた子供たちの群れのようです。彼らはそれを囲んで、弾が入っているかどうか確かめるために銃口を覗き込んでいます。しかし、銃弾は、熟練者が引き金を引いても、愚か者が引いても、痛みをもたらします。
そして、さらに多くの脅威アクター
もちろん、三層モデルは単純化です。それが、サイバー犯罪者の3つの主要な層において異なる専門レベルが存在し、最上層だけが特定の企業を財務的報酬のために標的にすることを示すのに役立ったのなら、それは目的を果たしたことになります。しかし、予想されるように、脅威の状況はより複雑で多層的です。
組織犯罪
組織犯罪は、さまざまな違法目的のためにインターネットとダークウェブを利用しており、ダークウェブと暗号通貨の匿名性を活かすためにその活動を再構築しています。例えば、ドラッグは作物として育てられ、その後加工される必要があります。その製品は輸送され、密輸されなければなりません。次に、それは販売され、下層の犯罪者による多層的なピラミッドを通じて配布されます。下位の各レベルは、組織に対する忠誠心が徐々に減少しています。これらのすべてのレベルはリスクとコストを増加させます。
ダークウェブ市場で薬物を販売することにより、複数の流通モデルが取り除かれ、犯罪者は暗号通貨の背後に隠れることができます。これにより、犯罪者のコストとリスクが減少します。そこからサイバー犯罪が魅力的なモデルであることを理解するのは短いステップでした。
組織犯罪のサイバー犯罪は、上位層と中位層の両方にまたがっています。彼らは、特にランサムウェアのためにマルウェアを開発するトップクラスのサイバー犯罪者を雇う経済力を持っています。これらは、世界中に広がり、壊滅的な影響を与える見出しを奪うようなランサムウェアのバリエーションです。
彼らは新しい攻撃方法、新しい配布または感染方法を導入するランサムウェアの脅威であり、また新たに発見されたゼロデイの脆弱性を利用しています。中堅オペレーターと同様に、彼らはできるだけ多くの被害者を狙うことを目指しています。
ハクティビスト
ハクティビストという用語は、1990年代中頃にダイエット・オブ・デッド・カウのメンバーによって初めて作られました。彼らはテキサス州ラボックの廃墟の屠殺場で集まっていたハッキンググループです。ハクティビストは、ハッキングとアクティビストを組み合わせたポートマンテーです。しかし、誤解しないでください。ハクティビストは依然としてサイバー犯罪者です。
ハクティビストたちは、自らを社会正義の戦士と見なし、彼らが考えるにふさわしいサービスの中断や公の侮辱の対象に対して攻撃を行っています。彼らの活動は、ロビー活動、職場の混乱、ピケットライン、学生の座り込み、そして時には破壊行為などの物理的なアクティビズムのデジタル版です。
間違いなく、最も広く知られているハクティビストグループはアノニマスです。それは4chanの画像投稿ウェブサイトから生まれました。アノニマスは、アルカイダ、ISIS、クー・クラックス・クラン、サイエントロジー教会、反イスラム団体「オーストラリアを取り戻す」、ウェストボロ・バプティスト教会などの組織を攻撃してきた。
一般的に、アノニマスは分散型サービス拒否攻撃（DDoS攻撃）を利用して、犠牲者のウェブサイトを使用不能にし、政治的メッセージを自らのものに置き換えたページを改ざんし、プライベートな情報をオンラインで流出させています。時には、彼らが破壊に値すると思うウェブサイトを完全に壊滅させることもあります。たとえば、児童ポルノをホストしているサイトなどです。
ハクティビストが一般的な中小企業を標的にする可能性はありますか？ いいえ、ほぼ間違いなくありません。一見したところ、ハクティビストグループが普通のビジネスを攻撃する正当性はありません---彼らが間違ってあなたとあなたの活動を誤認しない限り。
孤独な狼
ハクティビストのように、孤独なオオカミハッカーは通常、お金以外の何かによって動機づけられます。たとえば、ゲイリー・マッキノン---彼は他でもないアノニマスによって史上最も危険なハッカーと呼ばれています---は、NASAがエイリアンやエイリアン技術、たとえば無限のクリーンパワーの証拠を抑圧しているという考えに obsessive に取りつかれました。この噂は、UFOの画像を削除するためにNASAのミッション写真がデジタル改ざんされているのを見たと主張するNASAの契約者によって始まりました。
2001年2月から2002年3月の間に、マッキノンはこれらの主張の証拠を探すために、97のNASAおよび米軍ネットワークにリモートで侵入しました。彼はまた、ペンタゴンや米海軍のシステムにも侵入しました。彼は捕まり、アメリカは引き渡しを要求しましたが、最終的に英国政府はマッキノンが精神的に不健康であるという理由でこれを阻止しました。
マッキノンはサイバー犯罪を実行したことを自由に認めており、NASAが地球外生命体や技術の証拠を隠していると確信しています。彼のハッキングがほぼ完全に成功したのは、被害者のサイバー衛生が不十分であり、弱く予測可能なパスワードが原因であることは注目に値します。
多くの孤独な狼の攻撃はこのテンプレートに従っています。社会的に困難を抱えた、または別の問題を抱えた個人が、非論理的な考えや信念に駆り立てられて、コンピュータシステムに侵入するためにそれなりの技術を使います。
彼らは何らかの技術的スキルを持っているかもしれませんが、犯罪を実行し逃げるために必要な犯罪分野の技術においては無知です。ほとんどのケースでは、彼らは非常に簡単に捕まってしまいます。このような人々が平均的なビジネスに与える脅威は極めて限られており、存在しないと言っても過言ではありません。
国家による支援を受けたグループ
オックスフォード英語辞典はサイバー戦争を次のように定義しています:
国家や組織の活動を妨害するためにコンピュータ技術を使用すること、特に戦略的または軍事的な目的のために情報システムを意図的に攻撃することです。
アメリカ、イギリス、イラン、イスラエル、ロシア、中国、北朝鮮、ベトナムはすべて、非常にサイバー能力の高い攻撃および防御の情報機関を持っています。
高度な持続的脅威（APT）は、無許可のアクセスが達成され、長期間検出されないコンピュータネットワーク攻撃のことです。APTという用語は、このような攻撃の背後にいるグループを表すようになりました。特に、複数の異なる高度な持続的脅威攻撃がそのグループに起因するとされる場合です。
これらの高度な持続的脅威は、長期間にわたり技術的に非常に困難な開発が必要であり、世界クラスの技術的専門知識を持つ大規模なチームを必要とするサイバー脅威であるため、国家に起因するか、あるいは、可能性として最大の企業に起因すると言われています。これらの企業のいくつかは、彼らの情報機関の圧力により、これらの脅威を作成させられたり、内蔵されたバックドアや他の脆弱性を持つ製品を作らせられたりしている可能性があります。
国家が支援するグループによって引き起こされるサイバー脅威の種類は、各国のインフラの重要な要素を攻撃するものです。発電所、通信、病院、金融機関、化学工場、電子機器会社、製造業、航空宇宙、自動車、医療がすべて標的にされています。
平均的な中小企業がAPTの標的になることは考えにくい。しかし、関係ない被害に巻き込まれる可能性はある。2017年に世界中の企業を攻撃したNotPetyaランサムウェアは、ロシアによるウクライナへの隠れた広範囲な攻撃であったと考えられている。
あなたの防御
脅威アクターには複数のタイプが存在するかもしれませんが、彼らはすべてテーマのバリエーションです。それぞれのタイプを個別に阻止する計画を立てる必要はありません。ネットワークを保護するための基本的なステップをすべて注意深く行い、サイバーセキュリティの3つの柱に気を付けてください。