華僑を狙う中国系犯罪組織とハッカー

2023/03/16

サイバーセキュリティブログ記事一覧サイバーセキュリティニュース

中国系犯罪組織および中国系犯罪シンジケートは、ダークウェブで売りに出される製品やデータベース、個人情報、ハッキングサービスなどの主要顧客であり、中国語圏のサイバー犯罪を増大させている大きな要因です。
アンダーグラウンドの商品やサービスを利用して犯罪組織が狙うターゲットの1つに、中国（中華人民共和国）国外に居住する中国人、すなわち華僑がいます。
このレポートでは、華僑を狙う犯罪組織の手口や、犯罪組織が活用する中国語圏ダークウェブの様相を紹介します。

脅威インテリジェンスプラットフォームCognyteは、ダークウェブやSNSなどから膨大な情報を収集し、情報漏洩や脅威アクターの活動を検知することによって、リスクを軽減させるサービスです。
Cognyteが持つ機能の一例として本レポートを紹介します。

Cognyte CTI Research Group@Cognyte | 2023年3月

脅威インテリジェンスサービス
Cognyteはこちら

記事に関するお問い合わせはこちらへ(ＳＯＭＰＯホールディングス、損害保険ジャパンなどグループ各社へのお問い合わせはご遠慮下さい)

犯罪組織に狙われる華僑と、ダークウェブとの関係
日本で観測されている活動
シンガポールおよびオーストラリア
欧米
Telegramで売買される華僑データベース
まとめ

犯罪組織に狙われる華僑と、ダークウェブとの関係

中国系犯罪組織はダークウェブ上で販売されている様々なサービスを悪用しています。

Webサイト改ざん・攻撃サービス
DDoS攻撃サービス
データ窃取サービス
個人情報データベース

こうしたダークウェブマーケット商品の中でも、個人情報データベースは特定のターゲットに用いられることが特徴です。
本章では、中国系犯罪組織の主要なターゲットを紹介します。

ターゲット：華僑

華僑は一般に、中国国外に居住しコミュニティを形成する中国人（中華人民共和国の国民）を指す言葉です。
東アジア、オーストラリア、北米、ヨーロッパ等に居住する中国人コミュニティや移民の情報が、中国系犯罪者による詐欺に悪用されています。
中でも、「中国当局詐欺（Chinese Authority Scam）」あるいは「中国当局なりすまし詐欺（Chinese Official Impersonation Scam）」と呼ばれる手口が最もよく見られるものです。
この手口では、詐欺師たちは違法に取得した個人情報や機微な情報を利用し、様々なソーシャルエンジニアリング攻撃を行います。
詐欺師は中国法執行機関職員になりすまし、ターゲットの華僑や移民に対し、かれらが本国で犯した罪を糾弾し、強制送還や、本土に残された家族に対する危害などを匂わせて恐喝します。

中国当局の監視や追及を恐れるターゲットは、容易に詐欺の被害者となります。実際、華僑の抱く恐れは根拠のないものではなく、過去に中国系移民や華僑が、金融犯罪を理由に本国に強制送還された事例が存在します。
中国当局は諸外国に警察の出先機関を設置しており、在外中国人に対する取り締まりを行っています。
当局に対する恐怖と、窃取した個人情報とを組み合わせることによって、詐欺師や犯罪組織はターゲットを騙すことに成功しています。

経済的に困難な状態にある人々も

ダークウェブで売られる個人情報データベースは、多重債務者等を攻撃するためのツールとしても利用されています。
こうした詐欺に騙される被害者の多くは賭博常習者、債務者、出会い系サイトやアプリ（特に女性が多い）の利用者です。
ギャンブルサイト利用者名簿や、多重債務者のデータベースは、詐欺や違法ギャンブルサイトの集客、闇金サービスの拡大などに悪用されていることがわかっています。

犯罪のプラットフォーム、中国語ダークウェブ

様々な犯罪に用いられるデータベースを売買する主要なプラットフォームは中国語圏ダークウェブマーケットです。
Cognyteでは、合計581件の華僑データベース販売を検知しましたが、そのうち169件は2022年以降にマーケットに投稿されていました。
華僑データベースに含まれているのは、主に3つの地域……アジア太平洋、北米、欧州であり、いずれも多数の中国移民が居住するエリアですが、実際にはその他多数の国で生活する華僑の情報が販売されています。

一連の華僑データベースで特筆すべき点は、そうしたデータベースの多くが女性のみを掲載している点です。
これは、女性が「中国当局なりすまし」のような詐欺に対してより脆弱とみなされていることを反映したものと推定します。
また、近年中国語コミュニティや米国で急増している「豚の食肉解体詐欺（Pig-Butchering Scam）」に関連した事象であるとも考えられます。
豚の食肉解体詐欺は、主に女性を標的にしたロマンス詐欺の一種であり、オンラインを通じて被害者を騙し、多額の投資や送金をさせる手法です。
この手口は米国でもFBIから注意喚起が発出されており、女性のみを掲載した華僑データベースが、この種の犯罪を行う組織や詐欺師に好まれていると考えられます。

次章以降では、Cognyteが収集したフィードを元に、日本その他各地域ごとの事例を分析します。

日本で観測されている活動

アジア太平洋地域は、歴史上多くの中国人が移住した地域です。このため、大規模な中国人コミュニティが多数形成されており、現在も中国人の移住は継続しています。
ダークウェブで販売される華僑データベースも、この地理的要因を反映したものであり、東南アジア、極東、オセアニア地域を対象にしたものが大半です。
各国の報道や政府機関の注意喚起から、この地域に住む華僑がサイバー犯罪や詐欺の格好のターゲットとなっていることが読み取れます。

我が国や香港の報道が示すように、在日華僑も犯罪組織による電話詐欺のターゲットにされています。
South China Morning Postの報告では、中国大使館職員になりすまし、標的華僑の在留資格失効を脅しに送金を要求する電話詐欺事例が紹介されています。

我が国に居住する中国人の人口を反映して、ダークウェブマーケットで販売される在日華僑データベースはアジア地域の中でも最多となっています。
現在中国語圏ダークウェブで取引されているデータベースの情報源はFacebookであり、データベースを販売する脅威アクターも同一アカウントであることから、大元に巨大なデータベースが存在し、そのデータを抽出して販売していることが伺えます。

以下に示すのはそうした在日華僑データベースの例です。

中国語ダークウェブマーケットで販売される在日華僑2000件のデータベース　出典：Luminar

脅威アクターは、上に示す在日華僑データベースを360USDで販売していました。
このデータベースには以下の情報が含まれており、Facebookから収集されたことを示しています。

氏名
性別
電話番号
居住地
本国出身地
未婚・既婚のステータス
勤務先

類似するデータベースとして、ある脅威アクターは在日華僑4000件のデータベースを640USDで販売していました。
データベースの構成は前述の投稿と同一であり、Facebookから収集した・あるいは別の情報漏洩から取得した元のデータベースを切り取り・抽出していることがわかります。

中国語ダークウェブマーケットで販売される在日華僑4000件のデータベース　出典：Luminar

シンガポールおよびオーストラリア

シンガポール

中国本土の管理や監視から逃れたいと考える中国人富裕層にとって、シンガポールは第一の移住先です。このため、シンガポール華僑はサイバー犯罪者が重視するターゲットとなっています。
シンガポール当局の注意喚起にも関わらず、複数のメディアが華僑を狙った詐欺の被害を報じています。

シンガポールは、アジア太平洋地域では、日本に次いでダークウェブマーケットにおけるデータベース売買の対象となっています。

2022年10月には、個人情報データベース売買組織を代表する著名な脅威アクターが、24万件に上るシンガポール華僑のデータベースを売りに出しています。
当該データベースは以下のフィールドから構成されていました。

性別
居住地
メールアドレス
氏名
パスポート番号
生年月日
電話番号

シンガポール華僑の個人情報販売とそのサンプル　出典：Luminar

2022年5月、ダークウェブマーケット上に投稿されたデータベースは、全てシンガポール在住の女性で構成されています。このデータベースも、「既婚・未婚ステータス」や「勤務先／職業」の記載から、Facebookが取得元であると推察されます。

シンガポール在住華僑女性500件のデータベース　出典：Luminar

オーストラリア

オーストラリアも中国移民の多数居住する国であり、犯罪組織による詐欺のターゲットとなっています。
詐欺師は以下に示す人物になりすまして脅迫を行い、高額送金を行わせており、オーストラリア政府も度々注意喚起を行っています。

中国公安部門職員
大使館職員
領事館職員
移民当局
国税当局

欧米

アメリカ合衆国でも、華僑や中国系市民に対する詐欺が多発しているとして、連邦政府機関が注意喚起を発しています。
使われる詐欺の手口は、アジア太平洋地域と同じく、当局を装った脅迫です。
中国人コミュニティの規模の関係上、ダークウェブで販売されている在米華僑データベースは各国の中で最多となっています。

Facebookを利用していた在米華僑の多くが情報漏洩およびスクレイピングの被害者となっており、流出データを利用した詐欺のターゲットとなっています。

EU地域も他と同様、英国、イタリア、ドイツ、フランス、オランダ、スイス、スペイン、アイルランド、オーストリア等に居住する華僑のデータベースが売りに出されています。
一連のデータも、他地域と同様Facebookから取得された大規模データベースから抽出されたものと考えられます。

Telegramで売買される華僑データベース

違法なデータベース売買は、中国語圏ダークウェブマーケットに限定されません。現在最も活発なプラットフォームはTelegramであり、様々なサイバー犯罪組織、犯罪者がチャンネルを開設し中国人データベースを販売しています。

以下のスクリーンショットはその一例です。

Telegramのサイバー犯罪グループに反復投稿されている華僑データベース販売　出典：Luminar

この投稿では、EU、米国、オーストラリア、日本、東南アジア諸国に居住する華僑データベースが宣伝されています。この脅威アクターは並行して「ペネトレーションテストのエキスパート」も募集しており、不正アクセスによるデータ窃取の協力者を探していることが伺えます。

こうした大量の宣伝投稿はBotによって行われていますが、その背後には特定の脅威アクターが存在し、Telegram上でアカウントを運営しています。

まとめ

大量に拡散するアンダーグラウンドの華僑データベースは、サイバー空間と現実世界の犯罪とのつながりを示す明白な証拠の1つです。
政治的、経済的、社会的要因から、世界各地に居住する華僑は犯罪組織による詐欺のターゲットとなっています。よって、各国の注意喚起にも関わらず、今後もこうしたデータベース売買は継続していくと考えられます。

脅威インテリジェンスサービス
Cognyteはこちら

記事に関するお問い合わせはこちらへ(ＳＯＭＰＯホールディングス、損害保険ジャパンなどグループ各社へのお問い合わせはご遠慮下さい)