サイバー攻撃者が正規権限を持つ従業員を買収し、企業の内部からシステムや業務フローを操作させる手口が深刻化している。業界ごとの内部不正の実態と、企業が講じるべき対策を解説する。
企業のセキュリティ対策が高度化する中、外部からの侵入が困難になったサイバー攻撃者は、正規の権限を持つ内部関係者（インサイダー）に狙いを定めている。トレンドマイクロの研究チームは、2024年から2026年にかけて、サイバー犯罪の取引現場となっているコミュニティーを調査した。分析対象は、サイバー攻撃者がアクセス権や盗難データを売買する暗号化Web掲示板（アンダーグラウンドフォーラム）や、メッセージングアプリケーション「Telegram」のチャネルから収集した各種情報だ。
その結果、インサイダーの需要と供給は、不満分子による散発的な犯行から、構造化された活発な犯罪市場に進化していることが判明した。この市場には、ブローカーやリクルーターが存在し、紹介報酬や収益分配の取り決めが公然と実施されている。
攻撃者が求めているのは、単なるネットワークへのアクセス権ではなく、外部の攻撃者には実行不可能な「業務ワークフロー上の権限」だ。取引の承認や不正対策の無効化など、正規の業務プロセスを装った、悪意ある活動が横行しつつある。各業界で横行する具体的な手口と、企業が直ちに講じるべき自衛策を解説する。
調査からは、インサイダーによるサービスが業界ごとに固定価格や納期の目安を伴ってコモディティ化（一般化）している実態が浮かび上がった。
通信業界では、顧客の電話番号を攻撃者に移管する「SIMスワップ」を実行できる従業員が標的になっている。1回の操作でSMS（ショートメッセージサービス）を利用する2要素認証を無効化できるため、その価値は高い。一部の募集では、米国の主要キャリアの従業員に対し、2万ドルの固定報酬に加えて犯罪収益の20％を分配する条件が提示されていた。
ソーシャルメディアの分野では、SNS（ソーシャルネットワーキングサービス）の信頼そのものが売買されている。凍結されたアカウントの復活や不正広告の承認操作を目的として、従業員がリクルートされている。アカウント1件当たりの凍結解除料金は1000ドルから7000ドル超で取引され、募集主がSNS運営会社のインサイダーに対して利益を折半する条件を提示する例も確認された。
例えば「facebook」「Instagram」などの運営元であるMeta Platformsでは、内部アカウント復旧ツール「Oops」が従業員や外部委託の警備員によって悪用された事例がある。彼らは数千ドルの賄賂と引き換えにアカウントを乗っ取り、最終的に20人以上が解雇などの処分を受けた。しかし、処分後も同ツールへのアクセスを巡るアンダーグラウンド取引は続いており、個人の摘発だけでは市場を閉鎖しきれない実態を示している。
暗号資産取引所では、特定のアカウント情報へのアクセスに対して2万5000ドルのサインオンボーナスや、同僚を紹介した際の紹介料が提示されるなど、通常の労働市場のようなリクルート活動が展開されている。情報源の発掘や買収といった工程が専門のオペレーターによって分業化されており、サプライチェーンとしての成熟度を高めている。
小売や物流業界では、「配達完了」や「差出人へ返送」といった商品の配送スキャンデータを改ざんし、不正な返金や支払いを確定させる手口が横行している。大手小売店舗のインサイダーが仲介業者と組み、顧客が商品を手元に残したまま不正な返金処理をする「返金詐欺」が、どれほど高額な注文であっても不正処理を請け負う、高度に組織化されたビジネスへと変貌しているのだ。
この高度に組織化されたリクルート活動は、新たな領域へと拡大している。特に次の高価値ターゲットとして懸念されるのがAI業界だ。AIベンダーがモデルの重みや独自の学習データ、特権的なシステムアクセスを蓄積するにつれて、これらの情報を人知れず持ち出したり悪用したりできる従業員への需要は急増すると考えられる。独自データと特権アクセスの価値が高まることで、インサイダー市場は今後も拡大を続ける可能性が高い。
こうした内部からの脅威には、従来の境界防御やエンドポイント対策だけでは不十分だ。インサイダーの行動は平時の業務と区別が付きにくいため、業務プロセスの隙をふさぐアプローチが欠かせない。
企業は、特定の個人が単独で完結できる処理を減らす必要がある。高リスクな取引や操作には二重承認を必須とし、承認と実行の職務を分離することが有効だ。
アカウントの復旧や手動による例外処理などは、セキュリティイベントとして監視し、件数やタイミングの異常を検出する仕組みを導入することが求められる。
何よりも重要なのは、自社の従業員が「潜在的な内部不正の加害者」であると同時に、「攻撃者から勧誘を受ける標的」でもあるという意識を持つことだ。不審な接触を受けた際の報告チャネルを整備し、高いビジネス価値を持つ業務の担当者に対して重点的に意識啓発をするなど、人間を基点とした防衛策の構築が急務となっている。
Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。
瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓
MFA（多要素認証）を入れたから安心という常識が崩れ去っている。フィッシング集団「Tycoon2FA」が摘発されたが、脅威が完全になくなったというわけではない。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
