.png)
散在性クモとは何ですか？
Scattered Spiderは、高度なソーシャルエンジニアリング、フィッシング、ビッシング、SIMスワッピング、身元攻撃などの手法を使って組織にアクセスすることで知られる金銭的動機を持つサイバー犯罪グループです。
Scattered Spiderは主にソフトウェアの脆弱性に初期アクセスを頼るのではなく、特に人を標的にすることで知られています。攻撃者は従業員になりすまし、ITヘルプデスクに連絡して、サポート担当者を騙してパスワードのリセット、 多要素認証（MFA）設定の変更、またはその他の方法で企業アカウントへのアクセスを許可させる可能性があります。
組織内に侵入すると、Scattered Spiderは権限のエスカレーション、クラウドやオンプレミス環境を横断して移動し、機密情報を盗み、恐喝や ランサムウェア 攻撃を行う可能性があります。
主なポイント
- Scattered Spiderは、高度なソーシャルエンジニアリング、アイデンティティベースの攻撃、認証情報の盗用を用いて組織への不正アクセスを得たことで知られる金銭的動機を持つサイバー犯罪グループです。
- Scattered Spiderは、従業員やITヘルプデスクを頻繁に標的にしています。攻撃者はフィッシング、ビッシング、SIMスワッピング、MFA操作などの手法を用いてアカウントを侵害し、セキュリティ制御を回避します。
- 散発スパイダー攻撃はランサムウェア、データ盗難、ラテラルムーブメントにつながる可能性があります。ネットワークに侵入した攻撃者は、権限を昇格させたり、機密情報にアクセスしたり、クラウドシステムとオンプレミスシステムの間を移動したりする可能性があります。
- 散在性クモの攻撃を防ぐには、最初の侵入を防ぐだけでは不十分です。組織はフィッシング耐性MFA、本人確認、ネットワークの可視性、侵害の封じ込めを組み合わせて、不審な活動を検出し、ラテラルムーブメントを制限し、成功した攻撃の影響を制限すべきです。
Scattered Spiderとは誰ですか？
散らばったスパイダーは、複数の業界の組織を標的にした金銭的動機を持つ脅威グループを指す一般的な名称です。
このグループは、ソーシャルエンジニアリングを通じて従業員やヘルプデスク担当者を操る能力で特に注目を集めている。常に技術的な脆弱性を悪用する必要がなければならず、攻撃者は正当なユーザーや管理者を説得してセキュリティ制御を回避する手助けをさせることもあります。
このことから、Scattered Spiderは、 サイバーセキュリティ戦略において、 マルウェアやソフトウェアの脆弱性だけでなく、侵害されたIDや正規の認証情報にも備える必要がある理由を示す有用な事例と言える。
関連記事: Scattered Spider:その攻撃が明らかにするネットワークの姿勢
散在性クモの別名は何ですか？
サイバーセキュリティ企業や 脅威インテリジェン ス研究者は、同じまたは重複する脅威活動を追跡するために異なる名称を使うことがよくあります。
散在するクモは、以下のような名前とも関連付けられています。
- オクトテンペスト
- UNC3944
- 0ktapus
- 混乱した天秤座
マイクロソフトは、Scattered Spiderに関連する活動をOcto Tempestとして追跡している。
異なるセキュリティ研究者は脅威グループや重複する活動の定義が異なるため、これらの名称が必ずしも完全に同一のアクターやキャンペーンの集合を表しているとは限りません。
散らばったクモはどのように組織を攻撃するのか?
散らばったスパイダー攻撃は、ソフトウェアを直接悪用するのではなく、身元を標的にすることが多いです。
攻撃者は、正規のユーザーになりすましたり、ヘルプデスクの担当者に連絡したりする前に、組織やその従業員について調査する可能性があります。
散らばったクモの攻撃には以下のようなものが含まれます:
- 従業員または特権ユーザーを特定する。
- 対象者に関する個人情報または組織情報を収集する。
- フィッシング、スミッシング、ビッシングなどの手法を用いて認証情報を盗むこと。
- ITヘルプデスクに連絡する際に、従業員になりすますこと。
- サポート担当者にパスワードまたは多要素認証方法のリセットを説得する。
- 攻撃者が制御する認証方法を登録する。
- 企業システムおよびクラウド環境へのアクセス権を取得する。
- 権限の昇格と追加リソースの発見。
- 環境内を横方向に移動する。
- データの盗み、恐喝、 ランサムウェアの展開など。
具体的な攻撃経路はキャンペーンごとに異なる場合があります。
散在するクモはどのようにソーシャルエンジニアリングを利用するのか？
ソーシャルエンジニアリングは、Scattered Spiderの最もよく知られた戦術の一つである。
攻撃者は、組織のヘルプデスクに連絡してユーザーになりすます前に、従業員について調査する可能性がある。公開情報源や過去の侵害、フィッシングキャンペーン、その他の手法から収集された情報は、なりすましをより説得力のあるものにします。
攻撃者は、デバイスを紛失した、パスワードを忘れた、または多要素認証に問題が発生したと主張する可能性があります。
ヘルプデスクが要求を正当と判断した場合、認証情報や認証方法をリセットする可能性があり、その結果、攻撃者は従来型の技術的な脆弱性を悪用することなくアクセス権を得てしまう可能性がある。
散在性クモはどのようにビッシングを利用するのか？
ビッシング(ボイスフィッシング)は、Scattered Spiderのソーシャルエンジニアリング攻撃において重要な役割を果たします。
攻撃者は、正規のユーザーになりすまして、従業員やITヘルプデスクの担当者に電話をかける可能性があります。攻撃者は、会話、切迫感、そして標的に関する情報収集を通じて、被害者にアクセスを可能にする行動を取らせようと試みる。
例えば、攻撃者はヘルプデスクの従業員を説得してパスワードをリセットさせたり、多要素認証の方法を変更させたりする可能性がある。これは、組織が発信者の個人情報や企業情報に関する知識のみを本人確認の証拠として頼るべきではない理由を示している。
Scattered SpiderはどのようにしてMFAを回避するのか？
多要素認証はアカウントのセキュリティを大幅に向上させることができますが、攻撃者は基盤技術を直接無効化するのではなく、多要素認証(MFA)を取り巻くプロセスを操作しようとすることがあります。
散在するクモは、次のような技法と関連付けられています。
- ソーシャルエンジニアリングでヘルプデスクをMFAリセットに誘導する
- 攻撃者が制御するMFAメソッドの登録
- SIMスワッピング
- 認証情報の窃盗
- 偽の認証ページを通じてユーザーをフィッシングする
- アカウント復旧手続きの操作
攻撃者が管理者を説得して、正規ユーザーの認証方法を攻撃者が制御する認証方法に置き換えた場合、多要素認証（MFA）はアカウント乗っ取りを防ぐことができなくなる可能性がある。
フィッシング対策に有効な認証方法を用いることで、これらの手法のいくつかをより困難にすることができる。
SIMスワッピングとは何ですか？また、Scattered Spiderはどのようにそれを利用していますか？
SIMスワッピングとは、被害者の電話番号を攻撃者が操作するSIMカードやデバイスに転送する攻撃です。
攻撃者が電話番号を掌握すると、被害者宛ての通話やSMSメッセージを傍受できるようになる可能性がある。
SMSベースの認証やアカウント復旧に依存するアカウントでは、攻撃者がアクセスを妨げる可能性があります。
Scattered Spiderは、ユーザーの身元情報や認証システムを標的としたキャンペーンの一環として、SIMスワッピングに関与しているとされている。
Scattered Spiderはランサムウェアを使っていますか?
Scattered Spiderはランサムウェアやデータ恐喝活動と関連付けられています。
アクセス権を得た後、攻撃者は機密情報を盗み、そのデータを漏らす脅威を利用して組織に恐喝の支払いを強要することがあります。
Scattered Spiderに関連する活動の一部は、ランサムウェアの展開も含まれているとされています。
そのため、早期の封じ込めが特に重要となる。攻撃者が最初に侵害されたアイデンティティやシステムから重要なインフラへ自由に移動しないようにすることで、攻撃の影響を軽減できます。
散在性クモはどのような業界を標的にしているのか？
Scattered Spiderは、単一の分野に留まるのではなく、複数の業界にわたる組織をターゲットにしている。
報告されているキャンペーンは、以下のような業界に影響を与えています。
- 通信
- テクノロジー
- ビジネスプロセスアウトソーシング
- 小売
- ホスピタリティ
- 保険
- 航空会社と交通機関
同グループの標的は時間の経過とともに変化しており、特定の業界の組織だけが危険にさらされていると想定するのではなく、その戦術に注目することの重要性が改めて浮き彫りになっている。
散在するクモの発見が難しいのはなぜか？
Scattered Spiderは、攻撃者が正規の認証情報や承認された認証プロセスを使用してアクセスする可能性があるため、検出が困難な場合があります。
ヘルプデスクが従業員と思われる人物のパスワードをリセットした場合、その結果として得られるログインは、最初は正当なものに見えるかもしれない。いったん侵入に成功すると、攻撃者は明らかなマルウェアをすぐに展開するのではなく、正規の管理ツールや既存のインフラストラクチャを利用することもできる。
そのため、組織のネットワーク状況を理解することが特に重要となる。セキュリティチームは、システムが通常どのように通信しているか、どこにリスクがあるか不要な接続が存在するか、そしてどの経路が侵害されたアイデンティティやワークロードが重要なリソースに到達する可能性があるかを把握する必要があります。
アイデンティティコンテキストとネットワークの状況、ワークロードの通信、異常なアクセスパターンの理解を組み合わせることで、セキュリティチームは攻撃者がアクセスを拡大したり横方向に移動しようとしている可能性のある活動をより迅速に特定できます。
散在するクモはどのように横方向に移動するのか？
Scattered Spiderは、最初のアクセス権を取得した後、追加のユーザー、システム、アプリケーション、クラウド リソース、および特権アカウントの発見を試みる場合があります。
攻撃者は、侵害した認証情報と既存のネットワーク接続を利用して、環境全体へのアクセス権限を拡大することができる。
この過程は 「ラテラルムーブメント」と呼ばれます。
ラテラルムーブメントは、侵害されたアカウントやendpointをはるかに大きな侵害へと変貌させる可能性があります。ワークロードとアプリケーション間の不要な通信を制限することで、攻撃者が利用できる経路の数を減らすことができる。
組織はどのようにして、散発的なクモの被害から身を守ることができるのか？
散在型クモ型ウイルスから身を守るには、人々と技術の両方を守る必要がある。
組織は以下の方法でリスクを軽減できます。
- 可能な限りフィッシング対策の多要素認証を使用する
- ヘルプデスクの本人確認手続きの強化
- 従業員にフィッシング、スミッシング、ビッシングを認識させるためのトレーニング
- パスワードとMFAリセットアクティビティの監視
- 特権アクセスを制限する
- 最小特権の原則を適用する
- 異常な認証とネットワークアクティビティを監視する
- 不要なリモートアクセスを制限する
- 重要システムとワークロードのセグメンテーション
- 不要なコミュニケーション経路を特定し、制限する
- インシデント対応および復旧計画の準備
組織は、ソーシャルエンジニアリングによる攻撃が最終的に成功する可能性を想定し、最初の侵害後に攻撃者がアクセスできる範囲を制限する対策を講じるべきである。
散らばったクモと侵害の封じ込め
Scattered Spiderは、初期アクセスを防ぐことが組織の唯一のセキュリティ戦略になり得ないことを示しています。
従業員がフィッシング攻撃に引っかかる可能性があります。ヘルプデスクの担当者は、説得力のあるリクエストであれば承認する可能性がある。認証情報が盗まれる可能性があります。攻撃者は最終的に侵入方法を見つける可能性がある。
侵害の封じ込めは 、次に起こることを制限することに焦点を当てています。
不要な通信を制限し、システム間の最小権限アクセスを徹底することで、組織は攻撃者が最初に侵害されたリソースから重要なアプリケーション、ワークロード、データへと横方向に移動するために利用できる経路を減らすことができる。
イルミオ・インサイトで不審な動きを探す
Scattered Spiderは身元が侵害されて侵入するかもしれませんが、攻撃はそのアカウントで終わるわけではありません。
Illumio Insightsは、セキュリティチームが環境全体のコミュニケーションを理解し、攻撃者がアクセスを拡大していることを示す疑わしい接続、リスクのある経路、ラテラルムーブメントの可能性を特定するのを支援します。
脅威をより早く発見し、大規模な侵害になる前に封じ込めるために必要な可視性と情報を得ること。
よくある質問
散在性クモとは何ですか？
Scattered Spiderは、高度なソーシャルエンジニアリングやアイデンティティベースの攻撃で知られる金銭目的のサイバー犯罪グループです。このグループは、フィッシング、ビッシング、SIMスワッピング、認証情報の窃盗、ITヘルプデスクの操作といった手法を用いてきた。
Scattered Spiderはランサムウェアグループですか?
Scattered Spiderは従来のランサムウェアグループよりも幅広い組織です。これらの脅威アクターは、身元漏洩、ソーシャルエンジニアリング、データ盗難、恐喝、そして最終的にランサムウェアに関与する可能性のある活動で知られています。
スキャッタードスパイダーはオクトテンペストと同じですか？
マイクロソフトは、Scattered Spiderに関連する活動をOcto Tempestという名称で追跡している。他のセキュリティ研究者は、関連または重複する活動に対してUNC3944、0ktapus、Muddled Libraなどの名称を使用しています。
Scattered Spiderはどのようにしてネットワークに侵入するのですか？
Scattered Spiderは、ソーシャルエンジニアリング、フィッシング、スミッシング、ビッシング、SIMスワッピング、ヘルプデスクなりすましなどの手法を用いて、頻繁に個人情報を標的にしています。攻撃者は、サポート担当者を騙してパスワードや多要素認証方法をリセットさせ、一見正当な認証情報を使ってアクセス権を取得する可能性があります。
Scattered Spiderはフィッシング詐欺（ビッシング）を利用していますか？
はい。音声を利用したソーシャルエンジニアリングは、Scattered Spiderに関連する手法の一つです。攻撃者は従業員になりすまし、ヘルプデスク担当者や他のユーザーを操ってアクセス権を取得したり、認証設定を変更させたりすることができる。
組織はどのようにしてScattered Spiderから身を守ることができるでしょうか？
組織はヘルプデスクの認証を強化し、フィッシング耐性のMFAを導入し、ID変更を監視し、特権アクセスを制限し、従業員をソーシャルエンジニアリングから訓練し、重要システムをセグメント化し、異常な通信やラテラルムーブメントを監視できます。
なぜ散在性クモは危険なのですか？
Scattered Spiderは、効果的なソーシャルエンジニアリングと、IDを侵害し、クラウド環境やオンプレミス環境をナビゲートするための技術を組み合わせたものです。攻撃者がアクセスを確立すると、データの盗用、権限拡大、横移動、恐喝やランサムウェア攻撃を試みることができます。