株式会社ZERO SECURITYは、北朝鮮との関連性が高いと評価した端末の分析結果を公表し、日本の求人やフリーランス、業務連携、ホスティングに関する保存認証情報URLが確認できたと明らかにしました。分析対象は80台で、認証情報ダンプ296ファイルからURLを抽出したところ、22台で日本関連サービス52ドメインの記録が見つかりました。これは日本の就労や業務サービスが接点となり得ることを示し、社内システムに限定しない点検範囲の拡大が必要としています。今回のURL分析にはIDやパスワードの値は含まれておらず、比率は選定端末群内の数値で日本企業の被害率ではないと注記しています。本分析は個別事件の帰属や特定企業の責任を確定するものではなく、観測情報が全て攻撃に使用されたことを意味しないとしています。
採用・外注の接点で生じる二つの主要経路
ZERO SECURITYは、人と業務の関係を通じた二つの経路に注意が必要だと述べています。第一に、採用担当者や協業相手を装い、開発者などに課題コードや業務ツールの実行を促す手口です。端末が感染すると、認証情報やセッション、業務資料が流出するおそれがあります。第二に、身元を偽って就労や外注に参加し、業務で付与された正規権限を悪用するリスクです。影響はメールにとどまらず、ソースコードリポジトリやクラウド管理、社内文書、顧客情報に及ぶ可能性があります。協力会社や外注担当者のアカウントも業務環境に接続するため、管理対象に含める必要があると説明しています。
権限管理と外部露出の継続監視を運用に組み込む
対策として、採用や外注の担当部門とセキュリティ部門の連携を求めています。採用・契約時には応募者や契約者、実作業者の一致と再委託の有無を確認し、採用過程で渡されるコードやツールは検証手順に従い隔離環境で確認します。業務開始後は最小権限に限定し、重要操作の実行と承認を分離し、アクセスログを点検します。契約終了や担当者変更に合わせ、アカウントやトークン、アクセス権限の失効と削除を行う運用が必要です。国籍や氏名ではなく、確認可能な本人情報と業務上の行動に基づいて判断する姿勢を求めています。
ダークウェブ監視を発見から対応までつなげる
企業関連の認証情報やインフォスティーラーログ、コンボリスト、メール本文や関連文書の外部露出を継続確認することが有効としています。特にインフォスティーラーログは業務サービスのURLやセッションと併せて分析し、優先的に点検すべきアカウントや端末の絞り込みに活用できます。発見情報は社内の資産やアカウント一覧、アクセスログと照合し、関連性を確認のうえパスワード変更、セッションやAPIキーの失効、端末調査、権限の再点検へとつなげます。ZERO SECURITYは、Stealthmoleを用いたダークウェブやTelegram情報の専門調査と、Zero Darkwebによる登録ドメイン関連情報の継続監視、通知と対応管理を案内しています。外部監視は端末防御や内部アクセス監視を補完する対策として運用することが重要としています。
詳しくは「株式会社ZERO SECURITY」の公式ページまで。レポート／DXマガジン編集部
