「日本」という名前が、地下市場に並んでいた。
「299.990 Japan Fresh Combo」
「JAPAN HQ COMBOLIST」
一見すると意味不明な文字列にしか見えない。
しかし、これらはサイバー犯罪者たちが利用する地下フォーラムで観測された投稿タイトルの一例なのです。
ここで重要なのは、日本企業がランサムウェア被害に遭ったという話ではありません。
もっと静かで、もっと見えにくく、そして、より危険な世界の話です。
商品は「あなた」ではない。
売られているのは「認証情報」です。
地下市場ではこれを『Combo（コンボ）』あるいは『Combo List』と呼びます。
これは一般的に…
- メールアドレス
- パスワード
- ログインID
- 認証情報
…などを組み合わせたデータセットを指します。
つまり、犯罪者同士が売買しているのは『人』ではありません。
「ログインできる可能性」そのものなのです。
それってどういうことなのか？
多くの人が疑問を抱くかも知れません。
例えば、ある認証情報が企業のメールアカウントやクラウドサービス、VPNなどでそのまま利用できれば、攻撃者はそのアカウントへ侵入できる可能性があります。また、同じパスワードを複数のサービスで使い回していた場合、一つの認証情報から複数のサービスへの侵入につながることもあります。
攻撃者にとって重要なのは、その認証情報の持ち主が誰なのかではありません。”その認証情報を使って「どこまでアクセスできるか」「どれだけ利益を生み出せるか」”という点なのです。
だからこそ地下市場では、認証情報そのものが「商品」として売買され、それを購入した別の犯罪グループが不正アクセスや情報窃取、ランサムウェア攻撃などに悪用するケースが後を絶ちません。
「Fresh」という一言の恐ろしさ
地下フォーラムには『Fresh』（新鮮な）という単語が頻繁に登場します。
これは一般的には…
新しい
という意味で使われる言葉です。
一方、犯罪市場では、『最近取得された認証情報』という意味合いで使われることが多いのです。
もちろん、タイトルだけで本当に新しい認証情報であるとは断定はできませんが…。
しかし、もし本当に新しい情報であるなら、価値は一気に高くなります。
古いパスワードより、昨日盗まれた『Fresh』（新鮮な）パスワードの方が高く売れるのです。
認証情報の購入者は、その後どうするのか
地下フォーラムで認証情報を購入した者は、その情報を使って実際にログインを試みます。
もしログインに成功すれば、その認証情報は単なる文字列ではなく、「侵入口」へと変わります。
個人のメールアカウントであれば、保存されている情報を窃取したり、なりすましメールの送信に悪用されたりする可能性があります。
一方、企業のアカウントであれば、社内ネットワークやクラウドサービスへの侵入の足掛かりとなり、さらに権限を広げることで、機密情報の窃取やランサムウェア攻撃へ発展するケースもあります。
つまり、地下市場で売買されている認証情報は、それ自体が目的ではありません。
その先にある不正アクセスや情報窃取、さらにはランサムウェア攻撃へとつながる「入口」として価値を持っているのです。
ランサムウェアは、最後の仕事でしかない
日本では、『サイバー攻撃 ＝ ランサムウェア』という印象が非常に強いと思います。
しかし欧米の研究では…
ランサムウェアは攻撃の「終着点」に過ぎないという見方が主流になっています。地下市場では、認証情報、マルウェア、初期アクセス、暗号化回避ツールなどが分業・サービス化され、犯罪エコシステムが形成されていることが報告されています。
攻撃者は、まず認証情報を買う。
侵入する。
権限を広げる。
データを盗む。
最後にランサムウェアを投入する。
つまり、ニュースになる頃には、攻撃はほぼ終わっているのです。
日本は本当に狙われているのか
今回観測した地下フォーラムでは、日本を冠した認証情報リストとみられる投稿が複数存在していました。
しかし、ここで注意しなければならないことがあります。
タイトルだけでは…
- 本当に日本由来なのか
- 重複データなのか
- 過去の漏えいをまとめたものなのか
- 新規窃取なのか
…は判断できないということです。
だからこそ、「◯◯万人流出」などと断定することはできません。。
しかし、地下市場に「日本」という商品カテゴリーが存在していること自体は、無視できない事実であると考えます。
犯罪者は「パスワード」を見ていない
彼らが見ているのは「成功率」です。
同じパスワードを「5サイト」で使っていれば「5サイト」を試す。
企業のメールアドレスならMicrosoft 365、VPN、Google Workspace、社内ポータルを順番に試す。
これを「Credential Stuffing/クレデンシャル・スタッフィング」と言います。
人間では到底できない量を、自動化されたツールを用いて数分で実行するのです。
地下市場は「闇サイト」ではない
日本では、ダークウェブという言葉だけが独り歩きしている一面が有るように感じます。
しかし実際には、犯罪市場というものは…
- ダークウェブ
- 招待制フォーラム
- Telegram
- その他の通信手段
…などに分散しているとイメージする方が実態に近いのだと思います。
さらに、売買には「評価」「仲介」「信用」「再販」といった仕組みまで存在し、一般のECサイトにも似た経済圏を形成していると分析されています。
私たちは何を見落としているのか
日本では「情報漏えい」というと、ニュースになった企業だけを見る傾向があると感じています。
しかし、その裏では、その先に大きな可能性を秘めた”悪しき世界市場”の存在があります。
盗まれた認証情報が「整理」され、「分類」され、「商品化」され、「売買」され、「再販売」され、「別の攻撃に利用」される。
この「見えない流通経路」こそが、現代のサイバー犯罪を支える「犯罪エコシステム」というインフラを支える一つになっているのです。
ネット探検ラボの視点
地下市場を観察する目的は、犯罪者を称賛することでも、興味本位で覗くことでもありません。
攻撃者が何を価値と考え、どのような情報を取引し、どのような手順で攻撃が組み立てられているのかを知ることは、防御側にとって重要な手掛かりになるのです。
「日本」という文字が地下市場に現れたとき、本当に問われるべきなのは…
「何件漏えいしたのか」ではありません。
「なぜ、日本の情報が売り物になるのか」であると考えています。
その問いに向き合わない限り、同じ出来事は何度でも繰り返され続けるであろうと危惧しています。
「日本」が売られている──地下フォーラムで見えてきた、認証情報売買市場の現実
繰り返しになりますが、サイバー攻撃というと、多くの方は「ランサムウェア」を思い浮かべるのではないでしょうか。
企業のシステムが暗号化され、身代金を要求される――そんなニュースは、いまや珍しくありません。
しかし、実はそのずっと前から、水面下では別の市場が動いているのです。
そこでは企業名ではなく”「認証情報」”が商品として売買されています。
そして今回、私たちが地下フォーラムの監視情報を調査している中で、日本を冠した認証情報リストとみられる投稿が複数確認されました。
「299.990 Japan Fresh Combo」
「JAPAN HQ COMBOLIST BY SHROUD.txt」
これらは地下フォーラム上で実際に確認された投稿タイトルです。
もちろん、このタイトルだけで「約30万人分の日本人情報が流出した」と断定することはできません。重複データや過去の漏えい情報を再編集したリストである可能性もあり、実際の中身や件数を確認できない以上、安易な結論を出すべきでは無いと考えます。
しかし、一つだけ確かなことがあります。
それは、日本の認証情報が「商品」として扱われている市場が存在するということです。
最後に
地下フォーラムを見ていると、ニュースでは決して報じられない世界が見えてきます。
私たちが普段目にしているサイバー攻撃は、その「結果」に過ぎません。
その前段階では何が売られ、誰が買い、どのように攻撃へとつながっていくのか。
ネット探検ラボでは、これからも地下市場の観測を続け、その実態を客観的な事実に基づいてお伝えしていきたいと思います。
次に地下フォーラムへ並ぶのは、どこの、何の認証情報なのでしょうか。
コメント