ShinyHuntersがFBIの求人サイトをハッキングした。その攻撃は何を明らかにするのか?
5月には、学校や大学が利用する学習プラットフォームCanvasへの攻撃を受令したため、 FBIはShinyHuntersについて一般に警告しました 。全国の学生や教育関係者がアクセスを失い、中には期末試験の最中にアクセスを失った人もいた。
その4か月後、FBIは自らの職員に警告を発していた。ShinyHuntersは、同局の求人サイトから機密データを盗んだと主張し、このハッキングは5月の警告に対する報復だと述べた。内部メモによると、当局はFBI職員全員の情報が漏洩したと想定していたという。
FBIの侵害は、その月に起きた複数の攻撃の中で最も大きなものでした。ShinyHuntersはまた、ライバルの恐喝グループであるCl0pのダークウェブサイトを押収し、それを恐喝の標的にしたと主張した。一方、 Googleの脅威研究者は 、Oracle PeopleSoftを利用する企業や学校に対する新たなキャンペーンを記録しました。
その後、FBIはハッカーたちと直接話をした。9月29日、オランダ警察がFBIが「シャイニーハンターズのリーダーとされる人物の一人」と呼ぶ男を逮捕した後、FBIのブレット・レザーマン副長官は「我々の居場所を知っているだろうし、我々も君たちの居場所を知っている」という率直なビデオメッセージを投稿した。
ShinyHuntersの最近の攻撃で注目が集まりましたが、防御者への教訓は馴染み深いものです。攻撃者は高度なソーシャルエンジニアリング、クラウドアプリ、ソフトウェアの脆弱性を利用すれば侵入できるのです。しかし、その後の展開は、最初の足がかりを得た後に得られるアクセスや繋がりによって左右される。過去数年間のシャイニーハンターズのサイバー攻撃は、組織がオープンポートを特定し、ラテラルムーブメントを制限し、単一の侵害が広がる前に不審な活動を封じ込める必要がある理由を示しています。
ShinyHuntersの背後にいるのは誰ですか？
ShinyHuntersは、大量の顧客データを盗み出して販売していたことで、2020年に初めて知られるようになった。現在、同組織は国境を越えた連携と戦術を持つサイバー犯罪者の緩やかなネットワークの一部となっている。Google脅威インテリジェンスグループは 、ShinyHuntersという恐喝に関連する複数のクラスターを追跡しています。研究者たちはまた、散在するクモとの戦術の重複や協力の兆候も発見した。これには、ITサポート担当者を装ってクラウドアプリに侵入する音声フィッシング（ビッシング）も含まれます。これらの重なりは脅威グループの境界を曖昧にしています。そのため、誰が攻撃を行ったのか判別が難しくなります。
FBIは 、ShinyHuntersが被害者やその家族に脅威や、時には虚偽の緊急通報で警察を自宅に呼びつけることがあると警告しています。このグループは、アクセスしたデータや盗んだデータの量を誇張する可能性もあります。
シャイニーハンターズの攻撃の年表
- 2020年： ShinyHuntersは、盗んだ大量のデータを販売することで注目を集めた。これらには、Tokopediaや教育プラットフォームであるUnacademyの記録が含まれていた。
- 2024年：このグループは、 Ticketmasterの顧客5億6000万人のデータを盗んだと主張した。AT&Tは顧客の通話記録やテキストメッセージの記録も紛失しており、それらを削除するためにハッカーに金銭を支払ったと報じられている。いずれのインシデントもSnowflakeの顧客アカウントに保管されたデータに関わっていました。捜査の結果、攻撃者は盗まれたログイン情報を使用していたことが判明した。
- 2025年： Salesforceの顧客を標的とした攻撃キャンペーンにおいて、攻撃者はITサポート担当者を装った。彼らは従業員に電話をかけ、攻撃者がデータを盗むことを可能にするアプリを承認するように騙した。
- 2026年初頭： 研究者たちは、攻撃者が電話や偽のサインインページを使ってパスワードやセキュリティコードを盗み、機密データにアクセスしていたことを突き止めました。
- 2026年5月: ShinyHuntersは、Canvasへの攻撃により全国の学校でプラットフォームがオフラインになったと主張しました。FBIは5月15日に国民に警告を発した。
- 2026年5月〜6月: 別のキャンペーンで 、Mandiant は攻撃者がOracle PeopleSoftの脆弱性を利用して学校や大学を侵害したことを突き止めました。
- 2026年8月: 銀行技術プロバイダーのジャック・ヘンリーは、音声フィッシングから始まった ShinyHunters攻撃を確認し ました。同社は、中核となる銀行プラットフォームへのアクセスや障害は発生しておらず、恐喝要求には応じないと述べた。
- 2026年9月： ShinyHuntersはCl0pのサイトを乗っ取ったと主張し、ライバル犯罪グループに支払いを要求した。数日後、FBIはFBIの求人サイトへの攻撃を主張し、 FBIは調査中だと述べた。9月25日、 Mandiant は複数の業界でPeopleSoftによる攻撃の波が再び発生したと報告しました。
Cl0pのエピソードは、そのパターンを縮小版で示している。ShinyHuntersは、競合サイトのソフトウェアにファイルアップロードの脆弱性を発見したと発表した。そこから、Cl0pのソースコード、ログ、そしてダークウェブアドレスへの鍵を入手したと主張した。そして、支払いを要求してきた。たった一つの弱点が、その背後にある全てへの扉を開けてしまった。
足がかりを築いた後はどうなるのか？
MandiantはPeopleSoftの調査において、攻撃者が他の内部サーバーにアクセスするためにパスワードを試していたことを発見した。侵入することで、彼らは出発点を得た。開かれた繋がりは、彼らに行く場所を与えた。9月の攻撃で、マンディアントは、攻撃グループが内部ネットワークを探索し、PeopleSoftサーバーから横方向に移動できるトンネリングツールをインストールしたことを確認した。
Illumioの業界ソリューションディレクター、クリスター・スワルツにとって、エントリー方式は物語の始まりに過ぎません。「いずれ、脅威は必ず届く」とスワルツは語った。「そして、それは環境全体に広がることを目指すだろう。」例えば、サーバーはデータベースへのアクセスを必要とするかもしれないが、多数のピアサーバーに連絡する理由はほとんどないかもしれない。その違いは、攻撃側が動き方を探しているのを防御側が見つけるのに役立つ。スワルツ氏は、ディフェンダーがその攻撃範囲を制限できる3つの方法を概説した。
動きをイメージする
盗まれたパスワードは、攻撃者を正規のユーザーのように見せかけることを可能にする。彼らの次の行動は、全く異なる物語を語るかもしれない。通常は1つのデータベースと通信するサーバーが、突然、近隣の複数のシステムにアクセスしようとする可能性がある。接続失敗が繰り返される場合、誰かがパスワードを推測している可能性がある。大量のデータ転送も、より詳細な調査が必要となる場合がある。「あらゆる動きを捉えられることが重要だ」とスワーツ氏は述べた。どの接続が正常かを把握することで、チームは変化を察知し、調査すべき場所を決定するのに役立ちます。
不要な経路を閉じる
可視性は、チームがシステムに必要な接続を判断する上でも役立ちます。セグメンテーションは残りのルートを制限し、攻撃者が他のシステムや重要資産へのルートを減らすことが可能になります。「不要なセッションはすべて停止してください」とスワーツ氏は述べた。
許可された接続についても注意が必要です。攻撃者は有効なアカウントと正当な経路を使用する可能性があるため、防御側はそれらの接続がどのように使用されているかを監視する必要がある。
不審な活動を封じ込める
チームは、最初に侵害を検知した時点でその全容を把握できるとは限りません。侵害されたサーバーが他のシステムに連絡しようとしているのを見ることで、何を隔離すべきか判断する助けになります。スワルツ氏は、システムを隔離するには明確な理由が必要だと述べた。有効な認証情報を使ったログインは、「奇妙な動作を始めるまでは」疑わしく見えないかもしれない。
封じ込め措置は、対応者が調査を行う間、その動きを阻止することができる。攻撃者がクラウドセッションを保持していたり、接続されたアプリ経由でアクセスしていたりする場合、チームはそれらのアクセス権も取り消す必要があります。
一つの足場がより広い侵害になるべきではありません
レザーマンはShinyHuntersに対し、FBIは彼らを見つける方法を知っていると語った。自らのネットワーク内でも、ディフェンダーは同じことを言える必要がある。ShinyHuntersの次の標的は、学校、銀行、あるいは別のライバルギャングかもしれない。そして、その侵入方法は恐らくこれまでとは異なるものになるだろう。そこで浮かび上がる疑問は変わらない。攻撃者が上陸した後、どこまで進むことができるのか？システムの接続状況を確認し、不要な経路を閉じ、侵害されたシステムを迅速に隔離することができるチームは、より良い解決策を持っています。そうやって、一つの足がかりが次の見出しになるのではなく
足がかりとして維持されるの
。攻撃者は侵入方法を見つけるだろう。重要なのは、侵入後にどれだけ深く侵入できるかだ。
Illumioは攻撃経路の可視化、ラテラルムーブメントの制限、脅威の拡散を防ぐのに役立ちます。
.webp)
