悪の“バグ報奨金プログラム”ともいえる「サイバー恐喝」の恐怖とは（1/2 ページ）

2015年、IBMは“バグの領域”を侵害するサイバー恐喝攻撃を30件報告している。その攻撃は、悪意のあるハッカーがSQLインジェクションの脆弱（ぜいじゃく）性を悪用して、企業を“助ける”ことを目的にしているという。

公開 2016年07月28日 15時00分

著者

Peter Loshin

[TechTarget]

印刷する

Security intelligence and analyticsのWebサイト《クリックで拡大》

　あるセキュリティ研究者が、2015年に30社の企業に対して行われた一風変わった一連の活動を報告している。その活動は、機微なデータや個人のデータがクラウドのサーバに投稿され、その後、そのデータを入手した方法を教える対価として金銭を要求するメールが攻撃者から送られてくるというものだ。

　この一連のサイバー恐喝攻撃は、IBMのセキュリティ研究者が発見した。この研究者は、サイバー恐喝攻撃の流れが、組織のネットワークインフラや製品の欠陥や脆弱性を報告した研究者に企業が報酬を支払うバグ報奨金プログラムと似ていることから、この攻撃を「バグの領域侵害」と呼んでいる。

併せて読みたいお勧めの記事

ランサムウェアへの対処法

今更聞けない、サイバーセキュリティ保険

　IBM Managed Security Servicesで上級脅威研究者を務め、この一連の活動を発見したジョン・クーン氏は次のように述べている。「重要なのは、サイバー恐喝攻撃の被害に遭った企業が、バグ報奨金プログラムを主催して攻撃を許可している企業ではないことである。攻撃者は必ず良識者を装って行動するが、実際は悪意のあるハッカーによる純粋な恐喝でしかない。この攻撃を仕掛ける犯罪者は、企業に何かしら良いことをしようと考えているふりをしながら、その行動によって金銭を要求している」

　クーン氏によれば、この攻撃で最も興味深い点は攻撃者が活動する「モラルグレーの領域」だという。

　「攻撃者は企業を侵害し、データを流出させ、データをオンライン上に投稿しているので悪意を持っている。どの法律でも違法な行為となるだろう。だが攻撃者は『金を支払えば、このデータは保護する』と主張する。つまり、これは脅迫だ。攻撃者が本当に企業を助けたいなら、企業に脆弱性を公開できるはずだ。そして、身代金（ランサム）を要求しなくても脆弱性は公開できる。そう考えれば、グレーなエリアかもしれないが、恐喝であることは間違いない」（クーン氏）