サイバー犯罪
サイバー犯罪者は企業の内部関係者に何を求めているのか
内部不正の実行者となる内部関係者の需要と供給は、散発的な機会主義的犯行から、ブローカー、リクルーター、紹介報酬、保証人サービス、収益分配の取り決めまで揃った、構造化された活発な犯罪市場へと進化しています。本リサーチでは、この市場をさまざまな業界にわたって検証します。
- 内部関係者のリクルートは、いまや構造化されたアンダーグラウンド経済の一部となっています。ブローカー、エスクローサービス、継続的なパートナーシップが、フォーラムやTelegramチャネル上で公然と運用されています。
- 最も価値の高い内部関係者は、単なるシステムへのアクセス権ではなく、業務ワークフロー上の権限を握っています。犯罪者が狙うのは、取引の承認、アカウントの復旧、不正対策の回避など、外部の攻撃者には本物らしく実行できない操作を許可できる従業員です。
- 内部関係者を利用したサービスはコモディティ化しつつあります。SNSアカウントの凍結解除、返金詐欺、SIMスワップ、配送追跡情報の改ざん、アカウント復旧などが、固定価格や納期の目安、再販プログラムまで整えて公然と売り出されています。
- AI業界は次の高価値ターゲットです。AI企業がモデルの重み、独自の学習データ、特権的なシステムアクセスを蓄積するにつれ、そうしたアクセスを人知れず持ち出したり悪用したりできる従業員への需要は高まると予想されます。
AIはあらゆる業界に浸透し、サイバー犯罪のあり方さえ変えつつありますが、その中でも「人」という要素は一貫して変わりません。サイバー犯罪にとって、内部関係者は常に需要のある「商品」であり続けています。2年間の観察期間を通じて、内部関係者の市場が単発の機会主義的犯行から、成熟した組織的な経済へとさらに移行していく様子が確認されました。ブローカーは現在、固定報酬、利益分配契約、紹介報酬、継続的なパートナーシップを提示しています。
人間の行動を予測することは困難ですが、この「商品」の需要と供給を追跡することで、脅威や潜在的な内部関係者がどこに現れ得るかを組織が予測しやすくなります。
本記事では、調査結果と業界ごとに確認された傾向の概要を紹介します。全体像を示すフルレポートでは、アンダーグラウンドフォーラムやメッセージングチャネルで確認された広告やサービスの実例に加え、内部関係者が提供するアクセス、情報、サービスが実際の犯罪につながった事例を取り上げています。
公共部門：内部関係者が支える「アクセス・アズ・ア・サービス」
内部関係者は、すぐに使える「アクセス・アズ・ア・サービス」を販売しています。政府関連システムを含む侵入チェーン全体が1回の購入に集約されるため、買い手は侵入行為そのものを省略できます。このため、内部関係者によるアクセス提供は、本レポートに記録された中で最も効率的かつ最も危険な「商品」の1つとなっています。
政府：最も希少で、最もリスクの高い「商品」
政府の内部関係者は、アンダーグラウンド市場で最も希少な存在です。本調査で確認されたのはごくまれでしたが、その背景には、信頼性への懸念、需要の限定性、あるいはリクルートが非公開チャネルへ移行していることがあると考えられます。ただし、実際に確認された数少ない出品は高値で取引されており、機微なアクセスや国家レベルの機密情報にまで手が届く内容となっています。
医療：値段次第で売られる患者記録
医療業界は、2つの側面から内部不正のリスクに直面しています。従業員が、被害者には再発行のしようがない恒久的な医療記録を盗み出し、ひそかに改ざんする一方で、ランサムウェア対策のために雇われたはずのサイバーセキュリティ専門家の一部が、密かに攻撃者側に加担し、自らの顧客を裏切っていた事例も確認されています。
ソーシャルメディア：「信頼」を売買する市場
ソーシャルメディアの内部関係者は、不正広告の承認、凍結されたアカウントの復活、アカウント認証や投稿削除対応の不正操作を目的としてリクルートされます。彼らのアクセス権によって、プラットフォームへの信頼は公然と値付けされる恒常的な市場と化しており、企業が当該の内部関係者を解雇した後もこの市場は存続します。
通信：シグナルの乗っ取り
通信業界の内部関係者は、アンダーグラウンドで最も需要が高く、最も高額で取引される存在の1つです。買収された通信事業者の従業員が1人いれば、SIMスワップを実行してSMSによる二要素認証（2FA）を無効化し、被害者のメール、銀行口座、暗号資産アカウントを攻撃者に引き渡せるからです。
金融：高値が付く銀行員のアクセス権
金融業界の内部関係者は、大規模な詐欺スキームに欠かせない存在です。彼らは、支払いの承認、顧客データや取引データの持ち出し、取引を阻止するはずの不正対策の無効化を目的としてリクルートされます。これと並行して、ATMやPOS（Point of Sale）端末でのスキミングや不正な融資取引を通じて、物理的な現金化を担う内部関係者も存在します。
産業・エネルギー：給油機でのスキミング
産業・エネルギー部門は、内部関係者に狙われることが最も少ないと見られる業界です。リクルートが行われる場合、その大半はターンキー型の決済スキマー詐欺に集中しています。攻撃者はハードウェアとノウハウを自ら用意できますが、唯一自前では調達できないもの、すなわち端末への物理的で監視のないアクセスを得るために、ガソリンスタンドや店舗の現場従業員をリクルートする必要があるのです。
配送・物流：スキャンを制する者が金を制する
配送詐欺における内部関係者の価値は、ただ1つのデータポイントに集約されます。それは、マーケットプレイス、販売者、購入者のすべてが「事実」として扱う配送追跡スキャンです。虚偽の「配達完了」スキャンを登録できる物流の内部関係者は不正な支払いを確定させることができ、「差出人へ返送」スキャンを登録できる者は正当な取引を取り消すことができます。運送会社の内部関係者に安定した継続的な需要があるのはこのためです。
小売：際限のない返金
返金詐欺は、愛好家レベルの手口から組織化されたサービスへと成熟しました。大手チェーンの内部関係者は、顧客が商品を手元に残したまま不正な返金処理を行うためにリクルートされ、ブローカーは返金額の一定割合を受け取ります。継続的な取引関係、固定価格表、名の知られたオペレーターの存在により、かつては場当たり的だった詐欺は、注文金額に上限のないプロフェッショナルなビジネスへと変貌しています。
レビューと評判：プラットフォームの信頼性そのものを売る
評判を扱うプラットフォームでは、評価そのものが商品です。ネガティブなレビューを削除したり、凍結されたホストを復活させたり、スコアを水増ししたりできる内部関係者は、プラットフォームの信頼性そのものを売っていることになります。これは、金銭やデータを一度きり盗む行為とは異なり、他のすべてのユーザが頼りにする信頼のシグナルを蝕むという点で、ひときわ深刻な被害をもたらします。実際、アンダーグラウンド市場の一部は評判そのものを商材としており、Airbnbをはじめとする評判・レビュープラットフォームを対象に、凍結解除やネガティブレビュー削除のサービスが売買されています。
結論
本リサーチから明らかなように、サイバー犯罪者が最も重視しているのは、単なるネットワークへのアクセスではなく、権限と信頼です。新しい高度な攻撃が話題になりがちですが、実際のところ、組織への最も効率的な侵入経路が境界への巧妙なテクニックであることはまれで、多くの場合、それは適切な立場に置かれた1人の従業員です。AIによって独自データと特権アクセスの価値が高まるにつれ、この市場は縮小するどころか、むしろ拡大していくと考えられます。
フルレポートでは、あらゆる業種にわたるアンダーグラウンドのリクルート経済について、価格表、フォーラムへの出品情報、実際の事例、そしてセキュリティチームおよび不正対策チーム向けの具体的な推奨事項とともに詳しく解説しています。
参考記事
What Cybercriminals Look For in Corporate Insiders
By Mayra Rosario Fuentes, Stephen Hilt, David Sancho
翻訳：与那城 務（Platform Marketing, TrendAI Research）