【ITニュース解説】ShinyHunters hacks Clop leak site, threatens to extort ransomware gang

サイバーセキュリティの世界では、日々新たな脅威や事件が発生しているが、今回は特に異例の事態が報じられた。通常、サイバー攻撃の被害者は一般企業や個人だが、今回はなんと、別のサイバー犯罪グループが、著名なランサムウェアグループを攻撃し、恐喝を仕掛けているという内容だ。この事件を理解するためには、まずいくつかの基本的な用語と概念を知る必要がある。

今回のニュースの中心となる「Clop（Cl0p）」は、世界中で活動している非常に悪名高いランサムウェアグループの一つだ。ランサムウェアとは、標的のコンピューターシステムやネットワークに侵入し、そこにある重要なデータを勝手に暗号化してしまう悪質なソフトウェアを指す。データが暗号化されると、正規の利用者でも内容を見たり使ったりできなくなり、業務が停止したり、個人のデータが失われたりする深刻な被害が発生する。Clopのようなランサムウェアグループは、この暗号化を解除するための「鍵」と引き換えに、被害者に対して多額の身代金（ランサム）を要求するのが典型的な手口だ。さらに近年では、「二重恐喝」という手口が主流となっている。これは、データを暗号化するだけでなく、そのデータを事前に盗み出し、もし身代金を支払わなければ盗んだデータをインターネット上に公開すると脅迫する手法である。この公開のために使われるのが「データ漏洩サイト」、通称「リークサイト」と呼ばれるものだ。被害企業が身代金の支払いを拒否した場合、Clopのようなグループは、盗んだ顧客情報や企業秘密といった機密情報をこのリークサイトに次々と公開し、企業にさらなるプレッシャーをかける。

このClopのデータ漏洩サイトは、「Tor（トーア）」ネットワーク上に構築されていた。Torは、インターネット上での通信を匿名化するための特別なネットワークだ。通常のインターネット通信では、自分のIPアドレス（インターネット上の住所のようなもの）が相手に知られてしまうが、Torを使うと、通信がいくつもの中継サーバーを経由して複雑に経路が隠されるため、誰がどこからアクセスしているのかを特定するのが非常に困難になる。Torネットワーク上には、通常のウェブサイトのようにドメイン名が公開されていない、匿名性の高い「オニオンサービス」と呼ばれるサイトが存在する。Clopのリークサイトも、まさにこのオニオンサービスとして運営されており、これにより彼らは身元を隠しながら活動していた。

しかし今回、このClopの聖域とも言えるリークサイトが、「ShinyHunters（シャイニーハンターズ）」という別のサイバー犯罪グループによって攻撃されたのだ。ShinyHuntersもまた、サイバー犯罪の世界では悪名高い存在で、過去には多くの有名企業から顧客データを窃取し、それをインターネット上で販売したり、企業を恐喝したりしてきた経歴を持つ。彼らは主に「データ恐喝グループ」として知られており、ランサムウェアのようにデータを暗号化するのではなく、ひたすらデータを盗み出し、それを武器に金銭を要求する。

ShinyHuntersがClopのTorサイトに対して行った攻撃は、非常に大胆なものだった。彼らはまず、Clopのリークサイトを「改ざん」した。ウェブサイトの改ざんとは、ウェブページの内容を勝手に書き換えたり、全く別の情報に差し替えたりすることだ。Clopのサイトが改ざんされたことで、彼らの正当性が揺らぎ、ランサムウェア活動に支障をきたす可能性が出てくる。さらに深刻なのは、ShinyHuntersがClopのサーバーデータと、そのオニオンサービスを運営するための「プライベートキー」を盗んだと主張している点である。プライベートキーは、オニオンサービスがTorネットワーク上で自身の存在を証明し、通信を暗号化するために使う非常に重要な秘密の鍵だ。例えるなら、家の鍵のようなもので、これが盗まれると、その家（Clopのサイト）に勝手に入り放題になったり、鍵を複製されて全く別の場所に同じ家が建てられたりする危険性がある。つまり、ShinyHuntersはClopのリークサイトに対する完全な制御権を手に入れたか、少なくともそのサイトを無効化したり、偽装したりすることが可能になったことを意味する。

ShinyHuntersは、盗んだプライベートキーを含む情報をClopに突きつけ、彼らを恐喝し始めた。これはまさに「目には目を、歯には歯を」というサイバー版の報復、あるいはサイバー犯罪者同士の裏切りとも言える展開だ。自分たちが恐喝を生業とするランサムウェアグループが、まさか別の恐喝グループに狙われるとは、Clopにとっても想定外の事態だっただろう。ShinyHuntersの目的は、Clopから身代金を引き出すことにある。彼らは、盗んだ情報を公開するぞとClopを脅し、金銭を要求しているのだ。

この事件は、サイバー犯罪の世界がいかに混沌としているかを示す一例と言える。通常は警察やセキュリティ機関がサイバー犯罪グループを追及する立場だが、今回は犯罪者同士が互いを標的にしている。Clopがこの恐喝に応じるのか、あるいは何らかの反撃に出るのかは不明だが、どちらにせよ、彼らの活動に大きな混乱をもたらすことは間違いない。ランサムウェアグループは、自身の匿名性やインフラの安全性が生命線であるため、その根幹を揺るがすこの攻撃は、彼らにとって極めて深刻な問題だ。また、これによりClopが過去に盗んだデータへのアクセスがShinyHuntersの手に渡った場合、それらのデータがさらに悪用される可能性も考えられる。これは、システムエンジニアとしてセキュリティ対策を考える上で、攻撃者の手口だけでなく、その裏側にある犯罪者間の力関係や、彼らが利用する技術の匿名性・脆弱性といった側面も理解しておくことの重要性を示唆している。