北朝鮮ハッカーが今年盗み出した暗号資産の総額は13億ドル超

12月21~23日：サイバーセキュリティ関連ニュース

北朝鮮ハッカーが今年盗み出した暗号資産の総額は13億ドル超

BleepingComputer – December 22, 2024

2024年のサイバー攻撃において北朝鮮関連のハッカーが盗み出した暗号資産の総額は13億4千万ドル相当で、過去最高額となったという。ブロックチェーン分析企業Chainalysisが新たなレポートの中で報告した。

レポートによれば、2024年に発生したインシデント数は303件で、このうち47件が北朝鮮ハッカーに関連付けられている。また、合計損失額は22億ドルで、北朝鮮のハッカーはうち61%に相当する13億4千ドルを盗み出したとされる。

そのほか、レポートでは以下のような事実なども報告されている。

• ほとんどのインシデントは1月〜7月の間に発生。合計損失額の72%はこの期間に盗まれた。
• 過去3年間における最も被害の大きかったプラットフォームタイプはDeFiだったが、2024年は中央集権型がトップ、DeFiが2位という結果に。前者の例として、DMMビットコイン（2024年5月のインシデントで3億500万ドル相当の被害）とWazirX（2024年7月のインシデントで2億3,490万ドル相当の被害）が挙げられている。
• プラットフォーム侵害の手段として最も多かったのは、漏洩した秘密鍵を使用するというもの（全体の44%）。セキュリティ欠陥の悪用は6.3%にとどまった。

スパイウェアメーカーNSO Groupの法的責任認める初の判決、WhatsAppユーザー端末の侵害めぐり

The Record – December 21st, 2024

米カリフォルニア州北部地区連邦地方裁判所は19日、スパイウェアPegasusの開発元NSO GroupにはWhatsAppユーザー1,400人の端末をスパイウェアに感染させた法的責任があるとの判決を下した。結果としてNSO Groupは、巨額の損害賠償を支払う必要に迫られる可能性があるという。

メタを親会社とするWhatsAppがNSO Groupを訴えたのは2019年。WhatsAppの主張は、NSOが自社システムの欠陥を発見し、これを悪用してユーザーのデバイスにスパイウェアをインストールしているというものだった。それから5年の歳月を経て今回カリフォルニア州北部地区連邦地方裁判所のフィリス・ハミルトン判事は、NSOが連邦のコンピュータ詐欺・不正利用防止法（CFAA）およびカリフォルニア州包括的コンピューターデータアクセス・不正行為防止法（CDAFA）に違反したと判断。また同社には、WhatsAppの利用規約を破って契約違反を犯した責任があることについても認めた。

Pegasusはこれまで、活動家やジャーナリスト、またその他の市民社会メンバーの携帯端末上で度々発見されてきたものの、同スパイウェアの悪用に関してNSO Groupの法的責任を認めた裁判は今回が初めて。なお、損害賠償額を決定するための審理は3月に開始されるとのこと。

新フィッシングサービスFlowerStormがMicrosoft 365の認証情報を標的に　Rockstar2FAに代わって台頭

BleepingComputer – December 21, 2024 

Microsoft 365の認証情報を狙う新たなフィッシング・アズ・ア・サービス（PhaaS）プラットフォーム「FlowerStorm」が最近人気を高めており、先月突如シャットダウンしたPhaaS「Rockstar2FA」の抜けた穴を埋めるようになっているという。Sophosの研究者らが報告した。

Rockstar2FAとは、今年11月後半に初めて報告されたPhaaSプラットフォーム。Microsoft 365の認証情報を盗み出すための中間者攻撃（AiTM）を大規模に実施できるようにするサービスで、2週間につき200ドルという価格でサイバー犯罪者らに提供されていた。しかしSophosの研究者によれば、11月11日にRockstar2FAのインフラが部分的に破損し、同サービスの多くのページがアクセス不能になったという。これは法執行機関による取り締まりの結果ではなく、技術的な過失によるものだろうと研究者らは述べている。その数週間後、すばやく人気を高めていったのがFlowerStorm。同サービスは遅くとも2024年6月に出現し、Rockstar2FAと同じくMicrosoft 365の認証情報を狙うためのフィッシングサービスを提供し始めたとされる。

Sophosの研究者らは、「高い確度でRockstar2FAとFlowerStormを結びつけることはできない」としつつも、以下のような類似点が特定されたことについて報告。これらは、両サービスの出どころあるいはオペレーションに重複があることを示唆している可能性がある。

• いずれのプラットフォームも、「.ru」や「.com」といったドメインでホストされるバックエンドサーバーを利用し、正規のログインページ（マイクロソフトなど）を模倣するフィッシングポータルを使って認証情報やMFAトークンを奪おうとしている。
• 両サービスのHTML構造は非常に似通っている。
• 認証情報のハーベスティング手法が類似している。
• ドメイン登録およびホスティングのパターンに大きな重複が見られる。

FlowerStormから組織を守るには、AiTM耐性のあるFIDO2トークンを使った多要素認証（MFA）を使う、メールフィルタリングソリューションを導入する、DNSフィルタリングを使って疑わしいドメインへのアクセスを制限する、などの対策を実施する必要がある。

【無料配布中レポート】

各種レポートを無料配布中！バナー画像よりダウンロード可能です。

地政学レポート

インテリジェンス要件定義に関するガイドブック

ディープ＆ダークウェブレポート