サイバー攻撃手法の変化──企業のシステムに侵入できるアクセス権が販売されている

マーケットでアクセス権を販売する業者はIAB（イニシャル・アクセス・ブローカー）と呼ばれる...... Artem Oleshko-shutterstock

＜マルウェアを使わない侵入が主流になりつつある......＞

ランサムウェアを始めとするサイバー攻撃は脅威であり続けているが、システムに侵入する方法に変化があらわれている。

コロナによってリモートワークが普及したこともあって、従来のメールを侵入口とする方法からリモートアクセスに使われるRDPやVPNから侵入する方法が増加したのだ。これは世界的に見られる現象で、CrowdStrikeのレポートによれば全体の71％がマルウェアを利用しない侵入に変わっている。日本でもRDP（19％）とVPN（62%）が侵入の多数を占めるようになっており、毎年発表される情報処理推進機構（IPA）の「情報セキュリティ10大脅威」でもテレワークを狙った攻撃があげられている。

以前はメールにマルウェアを添付して感染させて侵入する方法が多かったが、RDPやVPNは人間ではないのでメールを受信して開封することはない。したがって別の方法で侵入することになる。現在主流になりつつあるのはアクセス権を購入して侵入する方法だ。

サイバー犯罪者が利用するマーケットでは、さまざまな企業のシステムに侵入できるアクセス権が販売されており、購入することでターゲットに侵入することができる。具体的にはひそかに仕込んだバックドアや、アクセスに必要なクレデンシャル（IDや認証など）を提供する。

マーケットでアクセス権を販売する業者はIAB（イニシャル・アクセス・ブローカー）と呼ばれる。近年、利用が拡大したことでIABに注目が集まっている。

市場拡大と低価格化の進むIAB

IABの市場拡大の背景にはマルウェアに関わる機能が分業化して組織化された事情がある。産業化したと言ってもよいだろう。初期の組織化は2000年代初期のRBN（ロシアン・ビジネス・ネットワーク）が有名で、その後さまざまな組織が生まれては消えていった。

表と裏のいずれのネットビジネスも技術と規模の変化にともなって分化と統合を繰り返して拡大してきた。表のネットビジネスではプロバイダとコンテンツサービスが一体化したパソコン通信が初期に成長し、その後、通信インフラ、プロバイダ、ポータルサイト、コンテンツなどに分化した。そして再び統合に向かいつつある。

裏のネットビジネスでは2012年頃に始まった分業化が2019年以降加速し、産業化が進んだ。市場が拡大し、参入業者の規模も大きくなってきたことからプラットフォーム統合へのフェーズに移行した。現在、サイバー犯罪産業は2つの方向での統合が進んでいる。ひとつは機能的な統合化、もうひとつは小規模の組織をより規模の大きな組織が飲み込む形の統合だ。複数のグループでひとつのIAB業者を共有する動きなどもが出ている。

IAB自身も他のサイバー犯罪者からデータを購入する。たとえばInfostealerという業者（マルウェアの種類を指すこともある）は、文字通り企業などからデータを盗みだし、それを売りに出す。だったらInfostealerがIABを兼ねることもできそうだが、Infostealerはとにかく大量のデータを盗み出す。あまりにも莫大なので、その中身を確認するよりも、盗み出したデータをそのまま売りに出すことが多くなっている。Stealer logsと呼ばれるデータにかたまりとして売られており、IABはそれを購入してアクセス権という商品に作り上げる。いわばInfostealerはサイバー犯罪のための原材料を提供する業者と言える。