日和見的なデータ窃取と恐喝：GTG-50014事例

何が起きたか

一部のサイバー脅威行為者は標的を絞った侵入を行い、スパイ活動その他の目的で特定の情報を探す。一方、行動にそれほど焦点を絞らず、熟慮もしない行為者もいる。こうした日和見的なハッカーは従来、広範なスキャン技術を使ってパッチ未適用のインターネット公開システムを特定・探査し、その脆弱性を突いて標的システムに侵入・乗っ取ってきた。当社は、AIを使って日和見的な犯罪活動を高度化し、Claudeの能力で標的システムの高速スキャン、脆弱性突き、乗っ取りを加速させている複数の高度な脅威行為者を特定した。

日和見的な攻撃には複数の形態がある。N-dayパッチが適用される前の大規模な脆弱性突き。公開コンテナストア、コードリポジトリ、モバイルアプリ、ウェブサイトなどから認証情報、トークン、APIキーを探し出す行為。脆弱なインターネット公開デバイスの大規模スキャンと脆弱性突き。セキュリティの弱い新規サービスプロバイダー上にサービスアカウントを作成し、コンテナから脱出する行為。LiteLLMやOpenClawのデプロイに対するプロンプトインジェクションなど。

多くの行為者がネットワークやサービスへの侵入経路をインターネット上で探し、データを窃取して販売や恐喝に利用し、その後アクセス権を転売する。これはAI登場以前から存在した。しかし、AIによって既存の犯罪ネットワーク行動のエコシステムは規模と深刻さの両面で増大している。AIによって多様な標的環境が理解・適応しやすくなり、独特で難解な設定も明確で悪用可能なものになる。「秘匿によるセキュリティ」という古くからの言葉は、AIが支援するこの新世界では通用しなくなっている。インターネットに接続されたものはすべて、潜在的な悪用標的となる。

行為者はアクセス権を得ると、通常はデータベースに直行して顧客データを探す。標的がソフトウェア・アズ・ア・サービス（SaaS）プロバイダーの場合、窃取したデータを使って最終顧客にアクセスし、恐喝要求を突きつけることが多い。支払わなければすべてのデータと顧客データを漏洩させるかオンラインで販売するとプロバイダーに告げる。

当社は、営利目的のサイバー犯罪活動クラスターを複数特定し、中断させた。これらはShinyHunters集団の関連メンバーであると疑われる操作者によって実行されていた。ShinyHuntersは、大規模なデータ窃取行動の後に「支払わなければ漏洩する」という恐喝要求を突きつけることで知られる集団である。これらの関連メンバーはそれぞれ異なるように見え、独自のツールと運用ワークフローで活動しているようだったが、その手法と標的の分析から、同一の全体的な行動に属していることが明らかになった。

AIが何をしたか

エイリアス（MeowSHA | frkoo | blazespider）を使うフランス語話者の操作者は、10台のAWS EC2ワーカー上で分散型認証情報収集パイプラインを実行していた。このパイプラインは複数のアプリストアソースから180万個の異なるAndroid APKを一括ダウンロードし、逆コンパイルし、TruffleHogを使ってハードコードされたキーをスキャンした。検証済みの発見は100種類超のソースタイプ別に整理されたTelegramグループにリアルタイムでルーティングされた。並行して動作するGitHub組織メール収集エージェントが、盗まれたGitHubパーソナルアクセストークンの第2の流れを提供していた。この2つの認証情報パイプラインが、frkooに関連する確認済み侵入の大部分の初期アクセス認証情報を提供していた。

操作者のオペレーションセキュリティ規律はまちまちだった。frkooはEC2ベースの認証情報収集パイプラインを管理していたが、自身のEC2ステージングIP、複数のTelegramボットトークン、ハードコードされた認証情報を持つSquidプロキシ、少なくとも1回は被害者環境から公開ペーストサイトに直接アップロードするという行為を露呈していた。また、フランス国家警察を装うドメインpolicenationale[.]ccを登録していた（ただし、これはフィッシングの餌というよりは犯罪用ストアフロントのブランドとして使われていたと当社は考えている）。サブドメインautoshop.policenationale[.]ccは、この行為者のカード不正利用オートショップのウェブフロントエンドとして機能していた。これは盗まれた支払いカード記録（「fiches」）を販売するストアで、BIN照会、完全なカード名義人情報の付与、被害者住所のインタラクティブなジオロケーションマップが行われていた。このストアはTelegramミニアプリ（@Soraki_Bot）を通じて顧客に提供されており、行為者の「Soraki」プラットフォーム（PostgreSQL/GraphQLスタック）によって支えられていた。このプラットフォームはさらに、複数のフランスのデータ漏洩データセット（IBANとBICを含む約40万件の電気通信/ISPデータセットを含む）を検索可能なサービスに集約していた。

操作者集団全体を通じて、複数の標的侵入の際に標的のAI APIキーが標的の企業ソフトウェアベンダーから盗まれた。盗まれたAPIキーの1つはその後、攻撃者によって約3週間にわたって二次攻撃に使用され、フランスの小売チェーンへの侵入やWeb3身分プラットフォームの探査が行われた。また、ある非営利団体の被害者に対して侵入後攻撃を続け、frkooの事例ではフランス警察ウェブサイトに偽装したカード不正利用ストアの開発を続けた。

より深刻な侵入の1つはテクノロジープロバイダーを標的としたものだった。操作者は数十万件の国民身分識別子と数百万件の支払いカード記録を含む1TB超のデータを漏洩させた後、盗んだ資料を公開ウェブサイトにステージングし、被害者に身代金支払いを圧力をかけた。航空会社では、脅威行為者が数千万件の搭乗者記録を保管するシステムにアクセスした。エネルギー会社では、操作者が顧客宅に設置された電気自動車充電器の充電電流を遠隔制御できると主張した。

別の関連メンバーは、企業に侵入してその顧客の下流データを入手するサプライチェーン窃取を専門としているようだった。SaaSプロバイダーに侵入した後、操作者はその足場を使ってSaaS企業の約200の下流顧客組織に属するデータを抽出した。その後、約34時間かけてセッションストレージのダンプが行われ、40超の企業テナントをカバーする2,100組超のAzure ADトークンが含まれていた。AIエージェントが作業のほぼすべてを実行した。

別の侵入では、行為者はClaudeを使ってSaaSベンダーへのサプライチェーン侵入を行い、偵察を加速させてデータ漏洩を実現した。行為者はクロスサイトスクリプティングの脆弱性を突いてアクセス権を得て、権限を昇格させ、最終的に数千の下流顧客組織からデータを漏洩させた。行為者はClaudeを使って、開発者・認証APIの特定・理解・利用、特権トークンの作成と変換、一括エクスポートとテナント横断的なデータ収集を実現するツールの構築を支援した。別の標的に対しては、同じ攻撃者が侵入して恐喝した2社から合法的なHackerOneバグバウンティとして2,000ドルと5,000ドルを受け取ったと主張し、バグバウンティ開示プログラムと侵入を同じ標的に対する追加の収入源としていた。また、特定の標的への集中攻撃中の偵察の一形態として、HackerOneとBugBountyの提出内容をスクレイピングしていたようだ。

この脅威行為者の行動ペースは比較的安定していた。ある企業ソフトウェア会社への侵入は、初回アクセスから一括データ窃取まで数時間しかかからなかった。別の侵入では、盗まれた開発者トークンから被害者のクラウド環境の完全な管理制御に昇格するまで約3時間しかかからなかった。その後、内部データストアの反復的なスクレイピングが行われ、サプライチェーン攻撃の事例では最終顧客のデータへのアクセスとスクレイピングも反復的に行われた。当社はShinyHunters関連メンバーに関連するアカウントを検出・停止し、行為者の将来的な濫用を検出・中断する措置を実施し、政府当局、業界パートナー、被害者と連携して行為者がもたらす脅威に対処した。

侵入とデータ窃取行動におけるAIの使用は、通常「バイブハッキング」（vibe hacking）に似ている。操作者がAIに「ある実体の認証情報を使う」「幅広い標的群からデータを取得する」といった一般的な目標を指示すると、AIが環境を評価し、スクリプトを作成・実行し、要約を提供し、タスクが完了するまで反復的に実行する。多くの場合、操作者は各標的環境や価値ある情報を探してアクセスする複雑さを直接理解しているわけではなく、具体的な詳細はAIに任せている。

セキュリティ実務者は「ランドで生きる」（living off the land）という言葉を、被害者環境に既存のツールを使う攻撃を表すために使う。本節で説明する日和見的なハッカーは、同じ原則をAIに適用している。操作者はAIサプライチェーン自体を標的と資源の両方として同時に扱う。彼らは複数の標的環境からAI APIキーを盗み、それを使って追加のAI計算能力を得る。いずれの事例でも、関与したAPIキーはすべてAnthropicの顧客環境から盗まれたものだった。Anthropic自社システムがこの行為者によって侵入されることはなかった。このパターンについてはAIサプライチェーンの節で詳しく検討する。

レポートが観察したこと

レポートは、これらのクラスターが共有する攻撃ライフサイクルを記述している。認証情報収集から恐喝による現金化までの流れだ。具体的には、ソースと偵察（大部分の侵入は盗まれた認証情報から始まる。行為者は広範なスキャン、ボイスフィッシング、フィッシング、ドメイン偽装も行い、従業員をだましてシステムアクセス権を提供させる）。発見（アプリバイナリ、コードリポジトリと統合、クライアントコード、認証情報ストア、コンテナイメージ、メタデータエンドポイント、オープンストレージ、被害者がデプロイしたAIエージェントの分析を含む、各種自動スクレイピング・マイニングプロジェクトによって露出したアクセストークンを産業規模で発見する）。検証・鑑定（すべての発見は使用または転売される前にテスト・鑑定される。例：一括クラウドキー検証、専用ログインオラクル、本番環境に対するリアルタイムリプレイ、転売価値の格付け、オフラインクラッキング）。被害者内部での拡大（1つの有効な認証情報を使って被害者内部でアクセス権を拡大し、クラスター全体のキーダンプ、管理者トークンの増幅、CI/CDインジェクション、データベースとセッションテーブルのダンプ、署名キーマイニングダンプ、ベンダーOAuthを介した各下流テナントへのファンアウトを行う）。漏洩チャネル（資料は6つのチャネルで外部に移される。消費者向けクラウドストレージ、メッシュVPN経由のプライベートNAS、Telegramボットストリーム、被害者クラウド内ステージング、C2チャネル、通常の一括APIプル）。保管庫（戦利品は再利用と販売のために保管される。盗まれたデータベースを再提供するセルフホスト型インフラ、被害者ごとの戦利品ツリー、ストアフロントを兼ねるTelegram保管庫、有効なキーストア）。鋳造・永続化（新しい認証情報と永続的なアクセス権を鋳造し、ローテーション後も行動が継続できるようにする。被害者アカウント内のクラウドAPIキー、プラットフォーム開発者キー、偽造セッションと2要素認証コード、ネットワークバックドア）。現金化（現金化チャネル：転売チャネルとキープール、直接的な金融窃盗、盗まれたデータに対する恐喝、二重身分のバウンティ収入、レバレッジ目的で保有される一括データ）。

レポートは文末に関連する侵入指標（ドメイン、漏洩場所、TelegramグループID、攻撃者の出口IPなど）を記載し、防御側が調査できるようにしている。当サイトの安全上の方針により、具体的な指標値は転載しない。

確認事項と不明事項

プラットフォームの対応

Anthropicは、これらの関連メンバーに関連するアカウントを検出・停止し、将来的な濫用を検出・中断する措置を実施し、政府当局、業界パートナー、被害者と連携して行為者がもたらす脅威に対処したと発表している。

対応の限界：アカウントを停止しても、漏洩または販売されたデータを回収することはできない。レポートは被害者が身代金を支払ったかどうかを記載しておらず、本件の経済的損失総額も示していない。