3コメ その2 米国政府が1,000万ドルの懸賞金! 一攫千金なら脅威分析官も狙い目か?

 2022.08.18  三和コムテック

ここ数年、サイバー脅威のトップを走っている標的型攻撃とランサムウェア。ダークウェーブの脅威分析でも、ランサムウェア・ギャングと呼ばれるハッカーグループが跋扈し、競って企業や政府を攻撃していることが見受けらえます。昨年5月に米国コロニアル・パイプライン社を操業停止に追い込み、440万ドルもの身代金を奪ったとされるのはDarkSideというギャングでした。

下記リストは、弊社のOSINTサービス(SCT SECURE OSINTサービス)で提携しているパートナーから昨年5月に公開されたランサムウェア・ギャングの活動リスト(ランサムウェアに感染させた社数の多い順に並べたもの)です。

3コメ その2 米国政府が1,000万ドルの懸賞金! 一攫千金なら脅威分析官も狙い目か? 1

このリストでダントツトップにあった「Conti」はロシアベースのランサムウェア・ギャングとされ、ロシア政府を支持し、ロシアへのサイバー攻撃に対する報復を宣言していました。そのギャングに関連して、2022/08/12にこんな記事が。
「ランサムウェア集団「Conti」幹部はこの男――米政府が13億円の賞金、闇サイトで情報募る」
https://www.itmedia.co.jp/news/articles/2208/16/news054.html

こちらは、Contiの首謀者に多額の「懸賞金」がかかった、という内容ですが、実は脆弱性診断でも昔からある実施方法の一つです。通常、脆弱性診断は、顧客から提示された対象(webサイトやサーバーなど)に対してのみ診断を実施するのですが、敢えて診断対象を指定せず、ざっくりとしたターゲット情報(会社名やサービス名)のみ提供して、一定期間内にチェックをさせ、見つかった脆弱性の重要度などに応じて懸賞金を払う「bug bounty(バグバウンティ)(脆弱性報奨金制度)という手法です。そのような手法の場合、まずOSINTなどでアカウント情報などダークウェーブに漏洩しているターゲット情報を手掛かりに脆弱性を見つけるのですが、脆弱性診断だけでは、流石にこんな高額な報奨金(正確には1,000万ドル)は聞いたことがありません。今後、皆さんがOSINTを活用した情報収集・分析力を身に付けられれば、我が国でも、莫大な懸賞金を手にする人が出てくるかもしれません。

SCT Security Solution Book

RECENT POST「セキュリティ」の最新記事


DevSecOpsとは?基本概念から導入方法まで完全ガイド
セキュリティ

DevSecOpsとは?基本概念から導入方法まで完全ガイド

APT攻撃とは?危険なAPT攻撃の手口から被害事例、対策を解説
セキュリティ

APT攻撃とは?危険なAPT攻撃の手口から被害事例、対策を解説

APIセキュリティの必要性とは?攻撃リスクと対策方法を徹底解説!
セキュリティ

APIセキュリティの必要性とは?攻撃リスクと対策方法を徹底解説!

CSPMとCWPPの違いとは?両者の違いと弱点を補強するサービスを解説!
セキュリティ

CSPMとCWPPの違いとは?両者の違いと弱点を補強するサービスを解説!

3コメ その2 米国政府が1,000万ドルの懸賞金! 一攫千金なら脅威分析官も狙い目か?
ブログ無料購読のご案内

おすすめ資料

PAGETOP