RaaS はコモディティ化していますか? – 情報化時代

ランサムウェア・アズ・ア・サービス (RaaS) は、ここ数年でますます勢いを増しています。組織犯罪グループ (OCG) の支援を受け、その多くは国家の支援を受けており、セキュリティ研究者を雇用しているこの市場は、数十億ドル規模の暗号通貨産業に成長しました。

RaaS は、ランサムウェア攻撃の実行に必要なすべてのツールを提供し、マルウェア スティーラーやローダーから、配布を支援するフィッシング サービス、情報へのアクセス、悪用後のツールに至るまで、攻撃者の参入障壁を下げます。 しかし現在、市場原理が収益を減少させ、主要企業を圧迫していることを示す証拠が存在する。

まず、OCGの分散化が進んでおり、法執行機関の目を逃れるために、OCGはより細分化しています。この分散化は、必ずしもRaaSを弱体化させるわけではありません。オペレーション・クロノスで解散し、英国、米国、オーストラリアでリーダーが指名され制裁を受けたLockBitは、それでも復活しました。その後、ツールが公開され、グループにとって打撃となったことは間違いありませんが、これによってRaaS事業者は目立たなくなりました。かつては、資金を蓄積することで悪名高かったLockbitは、 9,100万ドルは現在、100万ドル未満の身代金要求を行っていると報告されています。

フォールは戻りますが、攻撃は増加します

全体的に同様の話です。 ランサムウェア、恐喝、サイバー犯罪エコシステム NCSCの報告書によると、グループが通常受け取る身代金の45％のカットは、他のRaaSグループとの競争の激化により現在では下がっている。侵入可能な環境に関する情報を売買する初期アクセスブローカー（IAB）も、価格を下げて販売量を増やす必要がある。これは攻撃の増加という連鎖反応を引き起こしており、情報コミッショナー事務局（ICO）は、ランサムウェア攻撃が2023年の全開示の11％を占めたと指摘している（2022年は8％、2021年は7％、2020年は5％）。

特に中小企業は、大手企業に比べて堅牢な防御力と豊富な資金を欠いているため、ランサムウェア攻撃の影響を受けやすくなっています。 また、サードパーティのソフトウェアに大きく依存する傾向があるため、次のようなサプライ チェーン攻撃の犠牲になることがよくあります。 それを移動 ファイル転送ソフトウェアの脆弱性を悪用することに成功した 刈り取るさらに、セキュリティは専任のチームや個人によって監視される可能性が低く、スタッフの意識は低く、ポリシーの施行も緩い可能性があります。

Lockbit、Clop、Alphv/BlackCat などのグループと比較的新しいグループ 8ベース こうした脆弱性を悪用する攻撃は急速に進んでいるが、中小企業はダウンタイムや開示による規制上の影響のリスクを冒すよりも身代金を支払うことを選択することが多いため、どの程度成功しているかを確かめるのは非常に難しい。実際、身代金が支払われない場合、開示しなかったことを公表すると脅迫するグループもある。11月には、Alphv/BlackCatがメリディアンリンクに対し、自分たちが引き起こした侵害を開示しなかったとしてSECに苦情を申し立てた。また、身代金を支払うことは再び好まれるようで、昨年の57％から48％の企業が身代金を支払わないと回答している。 2024 年サイバーセキュリティ侵害に関する調査。

しかし、身代金を支払う価値はあるのでしょうか? すべての証拠はその反対を示しています。 の ICO は、これは個人データを復元するための「適切な措置」とはみなされず、企業がそのデータの管理を失い、GDPRなどの規制に違反しているとみなしていると述べています。 さらに、 ランサムウェア：ビジネスに与えるコスト調査 2024 組織も同様に再び標的にされる可能性があることが明らかになりました。 実際に料金を支払った組織の 84 パーセントのうち、78 パーセントが再び攻撃を受け、データが返されたのは 47 パーセントのみで、データがダークウェブ上に再浮上しないという保証はありませんでした。

GenAIの民主化効果

しかし、中小企業にとってさらに悪いニュースがあります。RaaSのコモディティ化により、OCGは攻撃を効果的に行うためのより効率的な方法、つまりGenerativeAIに目を向けるようになるからです。 NCSCは警告している この技術により、スキルの低いオペレータでも効率的なアクセスと情報収集が可能になり、ターゲットの絞り込みが強化されるため、今後 2 年間で攻撃の量と影響が増加すると考えられます。 これは、RaaS のビジネス モデル、特に IAB にとって破壊的であることが判明する可能性があり、RaaS が新興の GenAI-as-a-Service 犯罪市場のサブセットになる可能性があります。

しかし、NCSC は、定期的なバックアップ、ネットワークのセグメント化、セキュリティ意識向上トレーニング、検出エンジニアリングなどの不十分なサイバー衛生がランサムウェアの成功の主な原因であるとも述べています。脅威検出とインシデント対応 (TDIR) も、ランサムウェア攻撃を迅速に検出して対応する上で不可欠であり、もはや中小企業の手の届かないものではありません。たとえば、次世代のセキュリティ インシデントおよびイベント管理 (SIEM) は、データ量ではなくノードに基づいて脅威ハンティングと価格設定を提供し、コストを予測可能な状態に保ちます。一方、社内リソースが不足している企業は、マネージド検出および対応 (MDR) を選択できます。

組織が脅威検出をどのように実行しているかを確認することも重要です。従来、既知の侵害指標 (IOC) を使用して侵害を検出していましたが、戦術、技術、手順 (TTP) の検出に重点を置いたアプローチを採用すると、脅威アクターの手法や新しい脅威を発見できるため、より持続可能です。このような TTP は、MITRE ATT&CK などのフレームワークによってマッピングされ、SIEM と連携して対応を自動化できるセキュリティ オーケストレーション自動化および対応 (SOAR) テクノロジで使用されるプレイブックを作成するために使用できます。このテクノロジにより、攻撃が発見されるだけでなく、優先順位が付けられ、SOAR がビジネスの回復に役立つ可能性のある修復および回復オプションについてアドバイスできるようになります。

RaaS が法執行機関や市場の圧力に応じて変化していることは間違いありませんが、これらは攻撃を抑制しているわけではなく、攻撃に焦点を当てているだけであり、GenAI の下で市場のさらなる民主化が期待できます。 最終的には、攻撃はさらに標的を絞ったものになるため、中小企業が次の被害者にならないように NCSC のアドバイスに留意し、サイバー衛生と TDIR 機能を改善することが重要になります。

クリスチャン・ヘイヴは、 ログポイント。

続きを読む

なぜランサムウェアをわざわざ使うのでしょうか? 「労力がかからない」恐喝攻撃の増加 – ImpervaのEMEA地域副社長、アンディ・ゾッロ氏が、企業に対するランサムウェアを使わない恐喝攻撃の脅威の高まりについて語る