アメリカの運転免許証侵害は国家安全保障上の大惨事

米国の運転免許証流出は国家安全保障上の大惨事

米国の運転免許証流出は国家安全保障上の大惨事

先週、Krebs on Security は、Nexus と名乗る新たに立ち上げられたダークウェブサービスが、300万件の渡航文書と米国およびカナダ市民の運転免許証1億5300万件を含む身元確認書類へのアクセスを販売しているというニュースを報じました。これは、ありふれたサイバー犯罪に使われるだけでなく、米国の敵対国の情報機関を潤すことになる、巨大な情報流出です。

Nexus は、主要な身元確認サービス会社への不正アクセスを獲得し、1年以上にわたって新しいデータを「継続的に」抜き取り、プライベートデータベースに保存していたと主張していました。Krebs on Security は、1日のうちにデータベース内の免許証の数が約40万件増加したことを指摘しており、これは新しいデータの定期的な取り込みを示唆しています。

Krebs on Security は、このサービスが保有する運転免許証が本物であることを確認できました。Krebs 自身のものに加え、彼の友人や家族9人の免許証も含まれていました。ピート・ヘグセト陸軍長官、FBI の副長官、その他の米政府高官の免許証も含まれていました。

様々な状況証拠に基づき、Krebs はこのインシデントを身元確認サービスである IDScan に関連付けました。同サービスのウェブサイトによると、ID は本物であり、正当な所有者によって提示されていることを確認し、不正な文書を検出することで詐欺を減らすのに役立つとのことです。

FBI はこのインシデントを調査しており、IDScan もデータ流出の調査中であることを認めています。Nexus サービスも、Krebs が記事を公開した直後にダークウェブから姿を消しましたが、ハッキングの責任者はデータを削除したとは主張していません。おそらく、注目が収まるまで潜伏しているのでしょう。

免許証や身元確認書類は、なりすましやフィッシング攻撃を容易にするために使用される可能性がありますが、このデータは情報活動を支援するためにも使用できるため、このようなインシデントは国家安全保障上の意味合いも持ちます。

諜報の世界では、免許証は主要な身元確認書類であり、免許証番号が他のデータベースでよく使用されるため、特に価値があります。これらのデータベースは、ハッキングされたか購入されたかにかかわらず、自宅の住所と写真が含まれる特定の個人に記録を直接関連付けることができるようになると、はるかに価値が高まります。

そして、これは理論上の脅威ではありません。

2010年代半ば、中国のサイバー諜報活動主体は、米国の諜報機関を分析するのに役立つ、様々な情報源から補完的なデータを盗みました。中国の様々な APT グループは、Anthem という健康保険会社、信用情報会社 Equifax、Marriott ホテル、United Airlines、そしておそらく最も重要な、人事管理局 (OPM) からのセキュリティクリアランス情報を盗みました。

米国の諜報コミュニティは、盗まれたデータが、Zach Dorfman による Foreign Policy 記事のシリーズ で説明されているように、中国に対する米国の諜報活動に対抗するために使用されたと確信しています。

もちろん、中国自身がどのように盗んだデータを悪用しているかを詳細に説明する報告書を公開することで知られているわけではありませんが、調査報道組織である Bellingcat は、同様のデータが秘密裏の政府活動を明らかにするためにどのように使用できるかを正確に示しています。

2022年、ハッキングされたデータベースは、Bellingcat が GRU (ロシア軍情報機関) の潜入工作員を特定するのに役立つ重要な旅行情報を提供しました。これは、イタリアのナポリにある NATO の指揮所への潜入を試みていた人物でした。別の顕著な例として、2018年のこれらの3つの Bellingcat レポートは、ノビチョク神経剤を使用したセルゲイ・スクリパル暗殺未遂事件の容疑者を特定しました。

明らかに、流出したハッキングされたデータベースは、Bellingcat のロシア関連の調査にとって非常に役立ちます。2020年、同組織は「過去数年間で数十の流出したデータベースを入手し、新たに取得したデータを照合・検証するための多くのデータポイントを得た」と述べています。

小規模な調査組織がロシアのデータを流出した際に収集しているのであれば、中国の情報機関も、米国データが出現した際に同様のことを行っていると断言できるでしょう。

IDScan の流出は大規模です。データベース内の米国の免許証の数は、国の総免許証数の約63パーセントに相当します。しかし、身元確認サービスからの流出は、残念ながら頻繁に発生しています。過去2年間で、AU10TIX、Discord の年齢確認サービスプロバイダー 5CA、そしてNational Public Dataで流出が発生しています。

身元確認サービスは詐欺防止に必要ですが、セキュリティが不十分な場合は脆弱性のポイントにもなります。これらのサービスが扱う機密データの膨大な量から、厳格な規制と監視の対象となるべきです。

しかし、私たちは Seriously Risky Business では現実主義者であり、迅速な政府の行動が期待できないことを認識しています。短期的には、重大な金銭的結果がこれらの企業にセキュリティ強化を促すことを願うばかりです。法律事務所はすでに IDScan に対して集団訴訟を起こす準備を始めていますが、連邦取引委員会 (FTC) からの連邦政府の注目も歓迎されるでしょう。

米軍の広告追跡の言い訳

6月、ロイターは、商用の位置情報データが中東の米軍 personnel を標的とするために使用されていると報じました。当時、私たちは、国防総省のこの問題に関する既存のポリシー（軍所有デバイスでの広告識別子の無効化を含む）は、「私たちに自信を与えない」と書きました。それらは単に十分包括的ではありませんでした。

実際、これらのポリシーはうまく実施すらされていませんでした。

今週、ロイターは、米軍の一部の部門が、ついに軍所有デバイスの一部の広告識別子の無効化に着手したと報じました。

米空軍は、7月下旬に Windows および Android の広告識別子を無効化したと述べましたが、Apple デバイスではすでに無効化されていました。陸軍は、2月に Android および Apple デバイスの広告識別子をデフォルトで無効化したとロイターに伝えました。また、米特殊作戦軍は、Windows コンピューターの識別子が「最近」無効化されたと述べました。

これらの広告識別子の無効化は、数年前に実施されるべきだった基本的な緩和策です。米軍は、2016年に商用の位置情報データが人々を機密場所に追跡するために使用される可能性について、初めてブリーフィングを受けました。2018年の顕著な例として、オーストラリアの Twitter ユーザーが、Strava のグローバルヒートマップを使用して米軍基地や兵士のジョギングルートさえ特定できることを指摘しました。

軍事デバイスでの広告識別子の無効化も、不完全な解決策です。追跡をより困難にはしますが、不可能ではありません。そして、多くの米軍 personnel は個人のデバイスも使用しています。ロックダウンされたワークフォンは第一歩ですが、個人デバイスのための適切なポリシーも同様に重要です。

広告識別子をデフォルトで無効化することは、運用セキュリティ (OPSEC) を改善する可能性のある最も簡単な短期的な対策ですが、米軍の OPSEC 体制全体を評価しない限り、それがどれだけ効果があるかを判断することは不可能です。政府デバイスでの広告識別子の無効化は、リスクを許容可能なレベルにまで低減するのでしょうか？おそらくそうではありません。

米軍がついに広告識別子をデフォルトで無効化することは良いことです。しかし、軍がその効果をどれほど把握しているのか疑問に思っています。

「ホワイトハット」は自分たちを欺いている

週末、自称ホワイトハットハッカーが Liquid Network 暗号資産プラットフォームから3億2000万ドル相当のビットコインを盗みました。水曜日までに、ハッカーは資金の85パーセントを返還しましたが、約4700万ドルは保持しました。

近年、まず盗み、その後報酬を主張するというハッキングが定期的に行われています。私たちは、加害者が（まだ）逮捕または投獄されていないという点で、これらのいくつかを辛うじて成功と分類しています。

2021年、ハッカーは Poly Network から6億1000万ドル相当の暗号資産を盗みました。これは最終的に全額返還されましたが、同社が Mr White Hat と呼んだ攻撃者への50万ドルの報酬は除かれました。

Multichain (2022)、Huobi (2023)、Tender.fi (2023)のハッキングも同様の結果となりました。数百万ドルが盗まれ、返還され、ハッカーは「報酬」または「バグバウンティ」として数万ドルから数十万ドルの暗号資産を分け取りました。

際立った例は、2022年の Mango Markets のハッキングで、ハッカーは分散型取引所から1億1000万ドルを引き出しました。責任者である Avraham Eisenberg は、当時、自身の行動を「非常に収益性の高い取引戦略」と説明しました。彼は、開発チームがパラメータの設定方法のすべての結果を完全に予測していなかったとしても、すべての行動は合法であり、プロトコルを設計通りに使用したと主張しました。

Eisenberg は Mango Markets に6700万ドルを返還して再資本化し、Mango コミュニティは彼の時間に対して4700万ドルを支払うことを投票しました。Eisenberg は2024年の陪審員裁判で詐欺罪で有罪判決を受けましたが、その有罪判決は昨年の米国の裁判官によって覆されました。

私たちの見解では、これらのハッキングの加害者は自分たちを欺いています。ほとんどのお金を返還することで、彼らは責任ある行動をしていると思い込もうとしています。結果について言えば、大部分を返還し、被害者がそれで良いと言えば、法律は私を追い詰めないだろう…そうですよね？

Eisenberg のケースでは、それは正しかったことが判明しました。しかし、FBI は、被害者が加害者が起訴されないことを保証できないことを明確にしています。

Liquid Network のケースにおける一つの問題は、私たちが知る限り、会社がハッカーに15パーセントの分け前を保持することを許可することに同意したことは一度もないということです。

この自称善意の人物が、その4700万ドルのうちの一部を良い弁護士のために使わなければならない可能性があると感じます。

今週、元気づけられる3つの理由:

1. 信頼できる防御者向けのオプションが増加: 先週、Google は、より高度な AI サイバー能力を検証済みのサイバー防御者に限定する Anthropic の Project Glasswing および OpenAI の Trusted Access イニシアチブに相当する、同社のバージョンである Fairwind Program を開始しました。同日、Google は、最新モデルのサイバー専用バージョンである Gemini 3.8 Flash Cyber を、Fairwind Program を通じて利用可能にすると発表しました。Google によると、このモデルは脆弱性の検出とパッチ適用において「最先端レベル」のパフォーマンスを提供しますが、競合モデルよりもはるかに安価です。
2. Sality ボットネットのテイクダウン: 先週、米国司法省と Europol は、国際的な作戦が Sality ボットネットを妨害したと発表しました。このボットネットは2003年に初めて検出され、そのピアツーピアアーキテクチャは、当局が攻撃できる単一障害点がなかったことを意味します。CrowdStrike のテイクダウンに関するブログによると、過去8年間、ボットネットの主要ペイロードである EggJagger は、侵害されたホストのクリップボードを監視し、仮想通貨ウォレットアドレスをマルウェアオペレーターが制御するアドレスに置き換えていました。
3. 米国と英国が詐欺ネットワークで協力: 英国と米国の当局は、詐欺センターを解体するための取り組みで協力する覚書に署名しました。

Risky Biz Talks

最新の「Between Two Nerds」ディスカッションでは、Tom Uren と The Grugq が、AI が重要インフラストラクチャやサイバー貧困ライン以下の組織のサイバー防御に役立つかどうかについて議論しています。

Risky Bulletin より:

ウクライナの検事総長、詐欺コールセンターのスキャンダルで辞任: ウクライナの検事総長、ルスラン・クラフチェンコ氏は、同国の詐欺コールセンターを保護するために彼の事務所の職員が賄賂を受け取っていたという疑惑を受けて月曜日に辞任しました。

彼の辞任は、ウクライナの主要反汚職機関である国家反汚職庁 (NABU) の捜査官が、検事総長室のトップ側近である国際協力部副部長セルゲイ・クロピヴァ氏を逮捕した後に起こりました。

先週の報告書で、NABU はクラフチェンコ氏の事務所における大規模なスキームを発見したと主張しており、彼の部局長の一人が、ウクライナ国内外の市民に電話をかけ、偽の投資プラットフォームに誘い込んで資金を盗むコールセンターのネットワークを見逃すために賄賂を受け取っていました。

[Risky Bulletin でさらに詳しく] (https://news.risky.biz/risky-bulletin-ukraines-top-prosecutor-resigns-amid-scam-call-center-scandal/)

BEC キャンペーン、フランスの公証人から3500万ユーロを盗む: ハッカーは過去4年間で、大規模なビジネスメール詐欺 (BEC) キャンペーンにより、フランスの公証人から3500万ユーロ以上を盗みました。

攻撃者はフィッシングを通じて企業に侵入し、ネットワークを乗っ取り、送金の詳細をゆっくりと静かに変更して送金をハイジャックしました。

フランスの新聞 Le Monde によると、このキャンペーンは500人以上の被害者、つまりフランスの公証人事務所の約7パーセントに影響を与えました。

[Risky Bulletin でさらに詳しく] (https://news.risky.biz/risky-bulletin-bec-campaign-steals-eur35-million-from-french-notaries/)

ロシア、データセンターにドローン防御の展開を指示: ロシア政府は、重要インフラ組織の防御を強化する国家的な取り組みの一環として、データセンター運営者にドローン攻撃やその他の物理的脅威に対する防御を展開するよう指示しました。

クレムリンの指示に従わない企業は、その事業が国家の管理下に置かれるリスクがあります。

ロシアのウラジーミル・プーチン大統領は先月、ウクライナのハッキングやドローン攻撃から防御できなかった、または被害の修復に時間がかかりすぎた重要インフラ運営者の事業を国家が一時的に引き継ぐことを許可する大統領令に署名しました。

[Risky Bulletin でさらに詳しく] (https://news.risky.biz/risky-bulletin-russia-tells-data-centers-to-deploy-drone-defenses/)