AIを利用したハッキングツールを導入した疑いのあるハッカーが、わずか44日間で韓国の60組織に侵入したとされる。より大規模な活動の一環で、個人情報820万件超が侵害された。
ソウル警察は、企業や病院、教育機関に影響を及ぼした侵入事件を捜査した結果、10月26日に容疑者7人を逮捕したと発表した。捜査当局は、金銭を支払わなければ被害者の情報を公開すると脅迫したとして、グループを告発している。
この事件は、AIを利用したツールがサイバー攻撃を加速させる一方で、組織は個人情報を盗まれたことによる長期的な影響への対処を迫られる実態を示している。
AIツールが単独犯の活動を加速
8月31日から10月13日にかけ、容疑者はAIを利用した手法で60組織に侵入したと、ソウル警察は報告している。活動の初期段階では、ウェブサイトの脆弱性スキャナーを手動で操作していたが、その後、AIコーディングアシスタントと自律型ペネトレーションテストシステムを導入した。
警察は容疑者について、32歳で、オンライン資料を通じて独学でハッキングを学び、2019年から2022年までセキュリティ企業でペネトレーションテストに従事していたと特定した。捜査当局は、使用されたツールの一つとして ARTEXも特定した。
オープンソースのこのシステムは、標的と目的を与えられると、外部に公開されたサービスを調べ、調査結果に基づいて次に実施するテスト手法を選択できる。
AhnLabの研究者は 制御されたテストでは、ARTEXが脆弱なファイルアップロード機能を悪用する様子を観察した。別の実験では、外部に公開されたサーバーを侵害した後、内部ネットワーク上の4台のマシンでコマンドを実行できることも実証された。
これらの実験はツールの能力を示すものだが、容疑者が韓国での侵入に同じ手法を使ったことを裏付けるものではない。
盗まれた個人ファイルが恐喝の材料に
侵害された情報には、韓国の住民登録番号や連絡先のほか、従業員の記録や社内業務文書も含まれていた。一部の学習塾のファイルには未成年者の情報が含まれ、病院のデータには患者の相談内容も含まれていた。葬祭サービス会社1社だけで約122万件の記録が失われた。
38組織が恐喝メールの標的となり、容疑者らは合計3億6000万ウォン（約27万1000ドル）を要求した。メールは、情報を公開すれば被害者の評判を損ない、規制当局による制裁や顧客からの訴訟につながる可能性があると警告していた。支払いが確認されたのは1組織だけで、30万ウォン（約226ドル）を送金していた。
受信者が応じなかった場合、共犯者は電話やテキストメッセージで幹部や従業員に接触した。暗号化されたシステムのロック解除と引き換えに金銭を要求するのではなく、グループは データ窃取と恐喝を用い、情報を公にすると脅して標的に圧力をかけた。
捜査当局は6月の通報を受けて事件の捜査を開始し、 サーバーへのアクセスログから容疑者を追跡し、10月15日に逮捕した。容疑者は10月23日に身柄を拘束されたまま検察に送致され、他の6人は逮捕されずに捜査を受けている。
被害組織のうち被害届を提出していたのは15組織にとどまり、警察は残る事件を捜査し、情報がさらに拡散されたかどうかを調べている。
盗まれた記録がインシデント対応を複雑化
ある盗まれたデータベースには、1人の人物に属する複数の記録が含まれている可能性がある。そのためセキュリティチームは、影響を受けた個人の人数と、どの種類の情報が侵害されたかを明らかにすべきだ。
このような調査結果から、顧客への通知の範囲や、被害者に必要となる保護策が明らかになる。
犯罪者が提供した盗まれた情報のサンプルについて、捜査当局は、それが盗まれたすべての情報を示すと決めつけず、証拠として保全すべきだ。こうしたサンプルを社内記録やアクセスログと比較すれば、不正アクセスの範囲を特定するのに役立つ。
法務・プライバシーチームは通知義務を評価し、管理者は影響を受けたシステムを保護すべきだ。
ある インシデント対応計画は、影響を受けたサービスの復旧だけでなく、データの流出や、その後の悪用にも対応する必要がある。
サイバーセキュリティーの最新ニュース：悪意ある広告や侵害されたウェブサイトを介し、ユーザーが何もクリックしなくても、研究者は、脆弱なiPhoneがスパイウェアに感染する可能性があると警告している。