サイバーセキュリティ：macOS用のクリプトスティーラー、ホテルのWi-Fiを通じた監視、大規模な漏洩の週

今週のサイバーセキュリティは再び注目を集めました：弱いシードフレーズジェネレーターが数百万ドルの暗号通貨の盗難を引き起こし、新しいmacOS用マルウェアがウォレットから資金をこっそりと一部だけ盗むことを学び、ホテルのWi-Fiネットワークへの攻撃が企業アカウントやVIPゲストを狙うために利用されました。

サイバーセキュリティのいくつかの分野が注目されました：

• 暗号ウォレットのコンピュータセキュリティ。
• 政府サービスの情報セキュリティ。
• 警察官の個人データの保護。
• 電子メールを通じたフィッシング。
• ホテルの計算ネットワークへの攻撃。

脅威の種類としては、まず第一に：

• マルウェア --- スティーラー、トロイの木馬、その他のデータを盗むか、ユーザーの知らないうちにデバイスを操作するプログラム。
• フィッシングとソーシャルエンジニアリング --- 人を悪意のあるリンクに誘導したり、パスワードを入力させたり、コマンドを実行させたりする試み。
• エクスプロイトと弱いアルゴリズム --- コード、設定、または暗号におけるバグの利用。
• ネットワークへの攻撃 --- トラフィックの傍受、DNSの偽装、アクセス機器のハッキング。
• 漏洩と恐喝 --- データベースの盗難、情報の公開による脅迫、身代金の要求。

以下は今週の主なエピソードです。

• 古い乱数生成器が570万ドルの暗号通貨の盗難の原因に。
• macOS用のインフォスティーラーがパスワード、Apple Keychainのデータ、および暗号ウォレットからの資金の一部を盗んでいました。
• Ransom Cartelの創設者が逃亡後、ベラルーシの国境を越えようとした際に逮捕されました。
• ExfilSquadがPNLDデータベースのハッキングと英国の10万人以上の警察官のデータ漏洩を発表しました。
• Microsoftは、ホテルのゲストに対するCaptiveCrunchキャンペーンをMidnight Blizzardに関連付けました。

サイバーセキュリティとは何か、どこで必要か

サイバーセキュリティは、デバイス、ネットワーク、アプリケーション、クラウドサービス、アカウント、データを攻撃、漏洩、不正アクセスから保護することです。これは、資金、個人データ、ビジネスの継続性、ユーザーの信頼を守るのに重要です。

情報セキュリティはより広範で、デジタル、紙、組織のいかなる形態の情報を保護します。サイバーセキュリティはデジタル環境に焦点を当てています：ネットワーク、システム、サービス、アプリケーション、ユーザー。

• ネットワークサイバーセキュリティは、トラフィック、ルーター、Wi-Fi、VPN、その他の計算ネットワークの要素を保護します。
• アプリケーションサイバーセキュリティは、アプリケーション、ウェブサイト、API、コードのセキュリティを担当します。
• クラウドサイバーセキュリティは、クラウドサービスにおけるアクセス、設定、データの管理を助けます。
• インフラストラクチャサイバーセキュリティは、サーバー、ワークステーション、データセンター、重要なシステムを保護します。
• 個人サイバーセキュリティは、パスワード、デバイス、バックアップ、フィッシング、個人データの保護に関係します。

サイバーセキュリティ専門家の仕事

サイバーセキュリティ専門家は、脆弱性を探し、保護を設定し、疑わしい活動を監視し、インシデントを調査し、チームが1つのミスを大規模な漏洩やビジネスの停止に変えないように助けます。

• ネットワーク、アプリケーション、クラウド設定の弱点をチェックします。
• MFA、アクセス制御、バックアップ、EDR、SIEM、その他の保護手段を設定します。
• フィッシング攻撃、マルウェア、漏洩、不正アクセスの試みを分析します。
• 従業員にメール、ファイル、パスワード、企業サービスの安全な使用を教えます。
• インシデント時にチームが迅速かつ混乱なく行動できるように対応計画を準備します。

このような仕事には、ネットワーク、オペレーティングシステム、暗号化、ウェブセキュリティ、クラウドサービス、セキュリティ基準に関する知識が必要です。注意深さ、リスクを簡単な言葉で説明する能力、プレッシャーの中で冷静に働くこと、そして常に学び続ける習慣も大いに役立ちます。

サイバーセキュリティの給与水準には、通常、経験、専門分野、地域、業界、インフラの規模、24時間365日インシデントに対応する準備が影響します。

キャリアを始めるには、基礎的なコース、専門学校、または独学から始めることができます。自宅のラボを作り、Linux、ネットワーク、プログラミングの基礎を学び、合法的なCTFプラットフォームで練習し、ポートフォリオを作成し、インターンシップ、ジュニアポジション、またはテクニカルサポートの役割を探してセキュリティに移行することができます。

基本的な保護と最新技術

基本的なサイバーセキュリティは、ソフトウェアの更新、MFAの有効化、パスワードマネージャーの使用、バックアップの作成、アクセス権の制限、メールやリンクの確認、従業員の定期的な教育といった簡単な習慣から始まります。

定期的なソフトウェアの更新は既知の脆弱性を修正しますが、初期設定も重要です。もしキーやシードフレーズが弱いアルゴリズムで生成されている場合、1回のアップデートではリスクを取り除くことはできません。

• SIEMは、さまざまなシステムからセキュリティイベントを収集し、攻撃を迅速に検出するのに役立ちます。
• EDRは、ワークステーションやサーバーの挙動を監視し、悪意のある活動を特定します。
• MFAは、パスワードが漏洩してもアカウントの乗っ取りリスクを低減します。
• 人工知能と機械学習は、異常を検出し、大量のイベントを分析し、調査を迅速化するのに役立ちます。
• ブロックチェーンは、取引の透明性、記録の検証、データの整合性の管理が重要な場所で使用されます。

シードフレーズの弱い生成が570万ドルの盗難を招く

暗号通貨の所有者に対する大規模な攻撃は、シードフレーズの生成に使用された乱数生成器から始まりました。Ill Bloomの専門家がこのキャンペーンを説明しました。

コンピュータセキュリティの主要な脆弱性は、関数に関連していました。 そのコードは12年前に書かれ、128ビットおよび256ビットのシードフレーズを生成するためのエントロピーが非常に低かったのです。信頼できる探索空間である2^128および2^256に対して、実際の難易度は2^39および2^47にまで低下しました。ハッカーにとっては、通常の機器でキーを推測するのに十分でした。

攻撃者は、可能なフレーズの組み合わせを継続的に生成し、それをBIP39形式のアドレスに変換し、結果を公開ブロックチェーンと照合しました。実際、古いソフトウェアのプログラムエラーが、ウォレットの保護を専門のクラスターだけでなく、比較的手頃なシステムでも解決可能な課題に変えてしまったのです。

• 5月27日、攻撃者は431のアカウントから約314万ドルを引き出しました。
• 5月30日から7月13日までに、522のウォレットからさらに約255万ドルを盗みました。

確認された損害は約570万ドルです。攻撃を受けたのは、Bitcoin、Ethereum、EVM互換ネットワーク、Tron、Rootstock、Polygonです。

脆弱なコードは少なくとも5つの暗号ウォレットで発見されました。修正の状況は次のとおりです：

• NanChat：脆弱性はバージョン1.3.0で修正されました。
• Bitcoin Libre：修正はバージョン4で登場しました。
• Bexo Wallet：開発者はバージョン20.1.0での変更を発表しましたが、公開時点で安全なビルドはApp StoreやGoogle Playでまだ利用できませんでした。
• RRWalletとMilo：プロジェクトはすでに終了しています。

Coinspectは別途警告しました：アプリケーションを単に更新するだけでは、すでに作成されたウォレットを救うことはできません。シードフレーズが弱いアルゴリズムで生成された場合、それは永遠に危険にさらされたままです。たとえそのようなフレーズをハードウェアウォレットに移しても、その信頼性は戻りません。

コールドストレージはリスクを低減しますが、キーの生成、暗号化、シードフレーズを生成するソフトウェアの確認に関する基本的な要件を無効にするものではありません。

macOS用のクリプトスティーラーは全ての資金を奪うのではなく、取引の一部だけを奪う

Huntressの研究者たちは、Goで書かれたmacOS用の新しいインフォスティーラーを発見しました。これはClickFix攻撃を通じて広まり、システムパスワード、Apple Keychainのデータ、クッキー、ブラウザストレージの情報を盗みます。この挙動から、単なるコンピュータウイルスではなく、認証情報や暗号通貨を盗むためのハイブリッドツールであることがわかります。

感染の連鎖は電子メールから始まります。ユーザーはフィッシングページへのリンクをクリックし、そこで技術的な指示のふりをしてコマンドをコピーしてターミナルで実行するように促されます。

• まず、ダウンローダーはシステムに関する基本情報を収集し、犠牲者のコンピュータアーキテクチャに合わせたMach-Oファイルをダウンロードします。
• 次に、マルウェアはtrustdというフォルダーを作成し、証明書を確認するための正当なmacOSプロセスを模倣し、その中に自分のコードをコピーし、OSが警告を表示しないように属性を削除します。
• その後、osascriptを介して偽のシステムエラーダイアログが表示され、犠牲者は管理者パスワードを入力するように強制されます。

システムに定着した後、スティーラーはブラウザのパスワードデータベース、クッキー、Apple Keychainの内容を調査します。システム管理者にとって、この手法は特に危険です。感染したコンピュータが業務サービスにアクセスできる場合、1つのアカウントがより広範なインフラストラクチャへの道を開く可能性があります。

このマルウェアの主な特徴は、暗号通貨に関するモジュールです。Bitcoin、Litecoin、Dogecoin、Monero、Ethereum、Rippleの取引を署名の直前に傍受し、変更していました。

Huntressは異常な点を指摘しました。クリプトドレイナーはウォレットを完全に空にすることはありませんでした。コードには、送金の総額を計算し、攻撃者のアドレスに指定された割合だけを転送する機能が含まれていました。これにより、ハッカーは長期間ウォレットに寄生し、犠牲者に即座に疑念を抱かせることなく行動できました。

Huntressによると、このインフラはロシアのAeza Groupに関連しています。以前、この会社とその関連者は、ランサムウェアオペレーターに対するBulletproofホスティングサービスの提供により、米国と英国から制裁を受けました。

Ransom Cartelの創設者が米国で有罪判決を受ける

米国司法省は、40歳のベラルーシ国籍のマキシム・シルニコフに対して有罪判決を下しました。彼はRansom Cartelランサムウェアプログラムの創設者および運営者として認定されました。

ロシア語圏のサイバー犯罪環境において、マキシム・シルニコフはJ.P. Morgan、xxx、lanskyというニックネームで知られていました。捜査当局は、彼が少なくとも2005年からサイバー犯罪に関与しており、2021年5月にCaaSモデルでRansom Cartelの開発を開始したと考えています。

• Ransom Cartelの技術基盤はREvilに非常に似ていました。しかし、新しい暗号化ツールには高度な難読化メカニズムの一部が欠けていました。アナリストは、マキシム・シルニコフがREvilのコアメンバーの一人であった可能性があるが、ソースコードへの完全なアクセスはなかったと推測しています。
• 組織者の役割には、パートナーのリクルート、初期アクセスのブローカーとの連携、ダークウェブサイトの管理が含まれていました。これを通じて、参加者は攻撃を調整し、犠牲者とコミュニケーションを取り、身代金を分配し、その後暗号通貨ミキサーを通じて資金を洗浄しました。

2021年から2023年の間に、Ransom Cartelは異なる国の少なくとも18社を攻撃しました。確認されたダウンタイムによる損害は670万ドルを超え、身代金要求の合計は520万ドル以上に達しました。

注目すべき事例には、2022年8月のロボット手術分野の医療スタートアップへの攻撃があります。この会社は2か月間完全に機能できませんでした。2023年春、グループは複数の法律事務所のインフラをハッキングし、そのうち2社はデータ復旧のために125,000ドルと300,000ドルを支払いました。

2023年7月、マキシム・シルニコフは国際的な操作中にスペインで逮捕されました。彼は逃げることができましたが、その後、ベラルーシとの国境を越えようとした際に法執行機関に捕まりました。彼は引き渡しに同意しました。

アメリカに対する共謀、電子通信を利用した詐欺、そして悪化した状況下での個人情報の盗難で有罪判決を受けた。彼には16年の懲役刑が科される可能性がある。

イギリスの警察データがハッカーに侵害される

イギリスで、国家警察法務データベースPNLDがハッキングされ、10万人以上の警察官と刑事司法システムの職員の連絡先情報が漏洩した。責任を負ったのはExfilSquadというグループである。

PNLDは、イングランドとウェールズの43の警察署とイギリス交通警察が30年以上使用している重要なオンラインリソースである。この機関にとって、これは単なる辞書ではなく、日常の法執行に関連する作業ツールである。

ExfilSquadは、1.9GBのデータ、約135,000件の記録を取得したと主張している。漏洩したデータベースには、以下の情報が含まれているとされている：

• PNLDの114,000人の加入者のフルネーム、所属機関、電子メールアドレス、政府の職員やパートナーを含む。
• 公共サービスAsk the Policeを利用した21,000人の市民の連絡先情報。

ハッカーはデータベースの一部を公開し、身代金を要求し、残りのデータを公開しないと約束した。PNLDの代表者は、事件は調査中であると述べている。彼らによれば、サービスは犯罪の被害者、目撃者、または違反者に関する機密情報を保存しておらず、パスワードの漏洩の兆候はない。

パスワードがない場合でも、このような漏洩はプライバシーに打撃を与える：法執行機関の職員の個人情報は、フィッシング、圧力、ドックス、そしてよりターゲットを絞った攻撃の準備に利用される可能性がある。

ロシアのハッカーがホテルのWi-Fiを通じてVIPゲストを監視していることが判明

Microsoftは、CaptiveCrunchキャンペーンをMidnight Blizzard、またはAPT29、Cozy Bear、Storm-2945として知られるものと関連付けた。この攻撃は、ホテルのゲストや会議の参加者をターゲットにしていた。目的は、Microsoft 365の企業アカウントとVIPゲストの監視であった。このキャンペーンは、少なくとも2026年5月から活動している。

このスキームは、ホテルのWi-Fiを中心に構築されていた。攻撃者は、認証ページの機器をハッキングし、DNS設定を変更し、ユーザーのトラフィックをリダイレクトしていた。

• インターネットに接続すると、犠牲者はMicrosoft 365の偽のログインページに送信される可能性があった。
• 別のオプションは、ClickFix戦術を用いたフィッシングサイトで、ブラウザやシステムの更新を装ってコンソールでコマンドを実行するように求められた。
• また、Androidデバイスを悪意のあるAPKファイルで感染させようとする試みも記録された。

このような攻撃は、公共のネットワークでは特に危険である：ホテルのローカルネットワークは、ゲストのための通常のサービスとして認識されることが多いが、実際には企業アカウントへの侵入点となる可能性がある。ノートパソコンのファイアウォールは、ユーザーが偽のページでパスワードを入力したり、提案されたコマンドを実行したりする場合には、必ずしも役に立たない。

このキャンペーンでは、2つの新しいマルウェアが使用された。研究者は、そのコードにAIツールの使用の痕跡を見つけた。

• CornFlake --- スパイ機能を持つGo製のトロイの木馬：キーストロークの傍受、マイクとウェブカメラの録音、Microsoft 365のトークン、クッキー、パスワードの盗難。Cloud Sync Serviceを装い、Windowsの更新やウイルス対策の確認の偽のウィンドウで犠牲者を惑わした。
• ChocoShell --- PowerShellスタイラーで、メモリ内でのみ動作した。Azure ADのパスワード、トークン、保存されたWi-Fiネットワークのデータをターゲットにしていた。

感染したデバイスの管理と情報収集は、保護されていないウェブパネルFruitStoneを通じて行われた。このような場合、サーバーは攻撃の管理センターであるだけでなく、全体の操作の弱点にもなる。

このようなキャンペーンの伝統的なターゲット：

• 外交官。
• 政府職員。
• トップマネージャー。
• 防衛企業のエンジニア。
• エネルギー企業のエンジニア。
• 大手IT企業のエンジニア。
• 科学者。
• 分析センターの職員。

サイバー戦争とスパイ活動の増加を背景に、スパイウェアクラスのツールはますます通常のアップデートやサービスプロセスに偽装されています。

Microsoftは、ホテルや会議センターの公共Wi-Fiを潜在的に危険なものと見なすことを推奨しました。安全に作業するためには、モバイルインターネットや信頼できるVPNを使用する方が良く、ゲストネットワークに接続した際にアップデートやユーティリティをインストールする提案はリスクとして捉えるべきです。

今週の注目の出来事

• 2026年、レンチ攻撃による損害は3000万ドルを超えました。
• MetaのAIモデルがテスト中に外部企業をハッキングしました。
• 研究者は、1640の組織における北朝鮮のハッカーの痕跡を発見しました。
• Bitcoin Red Teamは390のビットコインプロジェクトにおける数千の問題を特定しました。
• EUでは偽のMiCAライセンスによる詐欺が増加しています。
• LedgerはColdcardのハッキングを背景にAIリスクについて警告しました。
• AIエージェントAnthropicは、開発者を欺くために偽のアカウントを作成しました。
• DragonflyはColdcardのハッキング防止を2ドルと評価しました。
• 暗号ウォレットの製造業者はフィッシングについてユーザーに警告しました。
• BitcoinサービスBoltzは一連の攻撃の後、スワップを停止しました。
• Krakenは暗号ウォレットの検証における隙間を指摘しました。

週末に読むべきこと

2026年7月30日、未知の人物が1200以上のアドレスから資金を引き出しましたが、Coldcardのデバイスには一切アクセスできませんでした。高度な保護機能と暗号パンクの製品イメージは、すべてのルールを守っているように見えた人々には役立ちませんでした。

Coldcardの歴史は、ハードウェアウォレットの安全性がデバイスだけに依存しないという痛ましい思い出となりました。鍵の生成プロセス、供給者への信頼、アップデートの検証、ユーザーの行動、そして保護チェーン全体が実際にどのように機能するかが重要です。