【サービス概要】脅威インテリジェンスサービス『Cognyte』
当社は脅威インテリジェンスプラットフォームLuminarを開発しているCognyte社の販売および技術パートナーとして、脅威インテリジェンスを活用したサイバーセキュリティ対策の強化を提案しています。攻撃者の性質や動機を理解したり、攻撃の予兆を察知したり、もしくは漏えいデータが闇市場に出回ったりしていないか調査したり、その活用方法はさまざまです。本資料ではCognyte社の紹介と共に、豊富な情報源と...
SOMPO CYBER SECURITY
脅威インテリジェンスサービスCognyteは、ダークウェブやTelegram、SNSなどから膨大な情報を収集し、情報漏洩や脅威アクターの活動を検知することによって、組織のサイバー・リスクを軽減させるサービスです。
Cognyte CTI Research Group@Cognyte | 2023年9月
2023年9月26日、サイバー恐喝グループRANSOMEDVC（またの名をRansomed）が、ダークウェブ上の脅迫Webサイトにおいて、日本の大手移動体通信事業者をハッキングし、データを窃取したことを公表しました。
RANSOMEDVCの主張によれば、このグループは当該企業のすべてのデータベースを抽出したとのことですが、現時点でその主張は裏付けされていません。また、過去に行った攻撃宣言と異なり、グループはこの攻撃に関する証拠を提示していません。
さらに、RANSOMEDVCには虚偽主張の前歴があります。
本記事では、Telegramおよびダークウェブ上で活動する恐喝グループRANSOMEDVCの概要を紹介します。
2023.11.14 更新
ニュースメディアによると、RansomedVCは運営停止とインフラストラクチャの売却を発表しました。構成員の逮捕が原因と推測されています（外部リンク）
記事に関するご意見・お問い合わせはこちらへお寄せください。
(ＳＯＭＰＯホールディングス、損害保険ジャパンなどグループ各社へのお問い合わせはご遠慮下さい)
RANSOMEDVCは2023年8月に出現した比較的新しい恐喝グループです。このグループは2023年9月のハワイ政府Webサイトに対する攻撃等、話題となったいくつかのインシデントに関与しています。
これまでにRANSOMEDVCは、テクノロジー、医療、金融など様々な業界をターゲットに活動してきました。
2023年9月14日に行われたRANSOMEDVC構成員へのインタビューによれば、RANSOMEDVCは北米・欧州、イタリアの大企業をターゲットとして好んでいるとのことです。
2023年8月、RANSOMEDVCはTelegramチャンネルを開設するとともに、「Ransomed(.)vc」のドメイン名を登録しました。チャンネル開設から6日後、グループは最初のターゲットについて宣伝しました。
ドメインが閉鎖されると、RANSOMEDVCは活動拠点をダークウェブ上の恐喝サイトに切り替えています。また最初のTelegramチャンネルは既に活動しておらず、9月25日からは新チャンネルを運用しています。
RANSOMEDVCは、欧州のGDPR（一般データ保護規則）を武器としていることで知られています。
GDPRでは、軽微な違反に対する罰金が最大1000万USDあるいは前会計年度の収益2％と定められています。しかし、重大な違反に対しては最大2000万USDあるいは前会計年度の収益4パーセントが科されます。
このグループはWebサイトを侵害した後、GDPRの罰金を脅しに金銭を要求します。
上述のインタビューによれば、グループには77名のアフィリエイト（構成員）が在籍している他、他の脅威アクターグループとも協力関係にあります。
このインタビューからは他に、以下のようなRANSOMEDVCの性質が伺えます。
なおRANSOMEDVCとの関係が推測されるEverestは2020年から活動しており、ランサムウェア攻撃の他、イニシャル・アクセスの販売、データ窃取・恐喝も行っています。
RANSOMEDVCのリーダーはMociBosiという脅威アクターであり、ロシア語ハッキング・フォーラムXSSで活動しています。
現在、グループはダークウェブ上の恐喝サイトで被害組織の情報を公開しており、支払いフォームへのリンクを併せて設置しています。
これまでにヘルスケア事業者およびガス事業者等が支払いをおこなったと報告されています。
RANSOMEDVCは、恐喝グループには珍しく、分割払いを受け付けています。
冒頭に紹介した移動体通信事業者に関する公表の2日前、9月24日には、RANSOMEDVCは日本の大手総合電機メーカーへのハッキングに成功したことを主張しています。
この事例では、グループは窃取したサンプルデータへのリンクを提示しています。
公開されたデータの中には当該企業の品質保証部門関連文書、Javaファイル等のデータが含まれています。
しかし、こうした情報を現時点で分析すると、当該企業からの情報漏洩もまだ証明されていないといえます。
ロシアのビデオゲームWebサイト「dtf(.)ru」の記事によれば、当該企業はRANSOMEDVCの支払い要求を拒否した結果、窃取データを売りに出されることになったとの経緯が説明されています。買い手が見つからない場合、全データが公開されることが推測されます。
RANSOMEDVCのダークウェブ・サイトは、グループの新Telegramチャンネルをフォローすることを推奨しています。
このチャンネルには現在、日系大手総合電機メーカーに関する通知のみが掲載されています。
RANSOMEDVCの新Telegramチャンネル 出典：Telegram
以前RANSOMEDVCは、Airbusに対するサイバー攻撃の首謀者であるとの主張を行いました。
しかしその後、実際に攻撃を行ったのはUSDoDと呼ばれる脅威アクターであることが明らかになりました。USDoDは2022年にもFBIの重要システムINFRAGARDデータをリークしており、Airbusデータの公開にあわせてRANSOMEDVCの協力者となっています。
さらに今回、別の脅威アクターが大手総合電機メーカーへの攻撃に関して、RANSOMEDVCを「虚偽の主張をしている」として非難しました。
RANSOMEDVCの虚偽に関して非難する脅威アクター 併せて侵害データを公開 出典：Twitter
記事に関するご意見・お問い合わせはこちらへお寄せください。
(ＳＯＭＰＯホールディングス、損害保険ジャパンなどグループ各社へのお問い合わせはご遠慮下さい)
当社は脅威インテリジェンスプラットフォームLuminarを開発しているCognyte社の販売および技術パートナーとして、脅威インテリジェンスを活用したサイバーセキュリティ対策の強化を提案しています。攻撃者の性質や動機を理解したり、攻撃の予兆を察知したり、もしくは漏えいデータが闇市場に出回ったりしていないか調査したり、その活用方法はさまざまです。本資料ではCognyte社の紹介と共に、豊富な情報源と...
脅威インテリジェンスサービスCognyteは、ダークウェブやTelegram、SNSなどから膨大な情報を収集し、情報漏洩や脅威アクターの活動を検知することによって、組織のサイバー・リスクを軽減させるサービスです。 Cognyte CTI Research Group@Cognyte | 2024年5月 2024年5月1日、ロシア語のダークウェブ・フォーラムにおいて"murava"と称する脅威アクタ...
脅威インテリジェンスサービスCognyteは、ダークウェブやTelegram、SNSなどから膨大な情報を収集し、情報漏洩や脅威アクターの活動を検知することによって、組織のサイバー・リスクを軽減させるサービスです。 Cognyte CTI Research Group@Cognyte | 2024年4月 2024.4.17追記本記事公開後、当該脆弱性の悪用条件等の更新が行われています。最新の情報はP...
サプライチェーンリスク評価サービス『Panorays』の採用事例として、株式会社ダイフクさまにお話をうかがいました。 近未来を想像させる大阪市内にある真新しい本社ビルで、サプライチェーンリスク評価サービス『Panorays』の採用事例の取材をさせて頂いたのは、日本国内外でビジネスを大きく成長させている製造大手の株式会社ダイフクさまです。実際の運用はまだこれからという段階であり、採用に至った背景や理...