Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

Heimdal®

サイバー脅威レポート

2023

2022年版サイバー脅威情勢のレビューと2023年の予測©2023 Heimdal® Security

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードするコンテンツ一覧1.

2022年 脅威の概要

032.

最も重要なサイバー攻撃

05

3.

4.

06

•

ウクライナとロシアのサイバー紛争•

Lapsus$ APTによるNVIDIAデータ漏洩事件•

Contiランサムウェアによるコスタリカ攻撃•

SpiceJetランサムウェア攻撃•

Rompetrolランサムウェア攻撃•

Turla APT•

Mustang Panda•

Hodur - Korplugのリニューアル

11

•

Log4j

11

2022年で最も強力な統計

08
09
10

12
14

•

エンドポイントベースのマルウェア•

エンドポイントベースのマルウェア検出数トップ20•

ネットワークベースの攻撃•

DNSベースの攻撃 - 年間の傾向•

パッチ適用と脆弱性管理•

メールセキュリティ

•Heimdal

年間統計

18

•

Heimdalと19

レジリエンスの力

Heimdalの2023年脅威予測

15
16
17

26

•

防御側

27

•

攻撃側

28

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

5.

Heimdalの製品とサービス

6.

tHeimdalとは

•
•
•
•
•
•
•

31

暗号化防御
特権とアプリケーション制御
脆弱性管理
エンドポイント検出
Eメールセキュリティ
支援
サービス

35

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

2022 脅威の概要

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

2022年 脅威の概要

地政学的な大きな変化と不安が目立った2022年は、サイバーセキュリティの現状に活気を与えています。終わりなきメディア論争に煽られ、もたらされた戦争利益主義の環境は、サイバー脅威をもたらす攻撃者が妨げられることなく活動できるだけでなく、サイバー犯罪活動に目をつぶることを選択した国家（よりどころ）を見つけることを可能にしました。このよ
うな深刻な状況の中で、サイバー犯罪に対する防衛側は、リスクを最小化し、早期に脅威を知らせるための新たな戦略を研究し、実行する必要に迫られています。マルチサーフェス要因（サイバー攻撃者がマルチベクトル攻撃を仕掛けること）を考慮すると、サイバー防衛産
業は、完全または部分的なセキュリティ自動化モデルの採用に非常に迅速でした。
数年前までは、ポリシーベースのセキュリティへの依存が一般的でしたが、現在では、差し迫ったサイバー攻撃の初期兆候を検出し、低レベルおよび中レベルの（セキュリティ）自動化によってそれらを軽減することができるテクノロジーに注目が集まっています。SIEM（Security Information and Event Management/セキュリティ情報およびイベント
管理）とSOAR（Security Orchestration Automation and Response/セキュリティ・オーケ
ストレーションの自動化および応答）は、ウイルス対策やエンドポイントベースのマルウェ
ア対策ソリューションのような古くからのサイバーセキュリティ手法と比較して成熟度が低
いにもかかわらず、価値あるアプローチであることが証明されています。
業界は明確な方針で方向性を描いていますが、自動化には、それが包括的なものであれ部分的なものであれ、課題と限界があります。（例えば、SIEMソリューションはアラート疲労を起こしやすく、SOAR型の対応は低・中レベルのセキュリティ・インシデントに限定される）。導入と実装のプロセスを阻害するその他の要因として、ライセンス、中長期的なコスト（セットアップ、構成、アップスケール、メンテナンスなど）と労働力が挙げられ、特に労働力に関してはSIEM、SOAR、またはハイブリッドアプローチを採用しようとしている組織にとって破格のものであると考えられています。
2023年は、過去数年間と同様に困難な年になる可能性が高いですが、サプライチェーン攻撃、ランサムウェア、ディープフェイク、サイバースパイなど、常に変化するサイバー犯罪の状況や新たな脅威／統合された脅威に対処するための適切なツールがサイバーセキュリ
ティ市場にあると確信しています。グリッド全体に大きな動きがある中、我々はデータに裏打ちされた事実を反映させるだけでなく、より良い脅威の保護、検知、緩和のためのハンド
ブックとして、この脅威レポートをまとめました。

4

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

2022年の最も重要なサイバー攻撃と危険なマルウェア

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

2022年の最も重要なサイバー攻撃と危険なマルウェア

1. ウクライナとロシアのサイバー紛争
間もなく本格的な侵攻に発展する国境紛争は、非伝統的な兵器、特にサイバー戦争の分野では、そのインキュベーターと化している。両陣営とも、ハッカーたちは戦略的資産（政府のウェブサイト、軍事ネットワーク、公共インフラなど）や攻撃機会を狙って壊滅的な攻撃を仕掛けています。最新の情報では、ロシアが紛争の流れを変えようとして、有名な脅威グ
ループを雇っている、あるいは匿っていると言われています。
欧州議会のシンクタンクがまとめた報告書によると、ロシアとウクライナの間には、8年にわたる暗黙のサイバー紛争が存在していたことが明らかになりました。下記の年表によると、東欧2国間のサイバー戦争は2014年初頭に始まっています。ロシアが支援するハッカーが、クリミア地方で起きている軍の動きから注意をそらすために、ウクライナのネットワークや通信インフラに複数のDDOS攻撃を仕掛けたのだ。紛争は現在も続いており、双方からさらなるサイバー戦争事件が発生することが予想されています。

2014年 3月

DDoS攻撃は、ウクライナのコンピュータネットワークと通信を不安定にし、クリミアでのロシア軍の作戦から注意をそらすことを目的としている。

2014年 5月

親ロシア派のハクティビスト集団が、ウクライナ大統領選挙の投票を操作するために一連のサイバー攻撃を実施（マルウェアは除去されたが、選挙の集計は遅延）。

2015年 12月

2016年 1月
2017年 6月
2018年 7月

親ロシア派のハクティビスト集団が、ウクライナ大統領選挙の投票を操作するために一連のサイバー攻撃を実施（マルウェアは除去されたが、選挙の集計は遅延）。
キエフの変電所で障害が発生し、1時間の停電
マルウェア「NotPetya」がチェルノブイリ原子力発電所を襲い、複数の政府機関や金融機関、郵便、新聞、交通インフラ、企業に感染
ウクライナ23州に供給されているオーリー塩素蒸留所へのサイバー攻撃未遂事件

6

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

2021年 ２月

ウクライナ治安当局のウェブサイトを狙ったサイバー攻撃未遂事件

2022年
2月13日－マイクロソフト、ウクライナ政府および複数の非営利団体や情報技術機関を標的としたマルウェ
アの存在を報告
2月14日―ハッカーが70の政府ウェブサイトに「最悪の事態を待て」のメッセージを表示
2月15日―DDoS攻撃でウクライナ政府、銀行、ラジオのウェブサイトが数時間使用不能に
2月23日―政府のウェブサイトが標的となり、HermeticWiperマルウェアは金融、IT、航空分野の組織に影響を与える

3月17日―ウクライナ政府と軍を狙ったフィッシ
ングメール
3月18日―フィッシングメールがいくつかの組織を標的にしている
3月20日―監視ソフトウェアのインストールに使用されるLoadEdgeバックドアを確認
3月28日―UkrtelecomとWordPressのウェブサイトに対するサイバー攻撃
3月30日―MarsStealerはウクライナの市民や組織のユーザー認証情報を掠め取る

2月24日－KA-SAT衛星ネットワークに対する攻撃は、
ロシアの侵略を容易にする

4月2日―ハッカーがウクライナ政府高官のユー
ザー認証情報を盗む

2月25日―政府ウェブサイトに対するIssacWiper攻撃と国境検問所を狙ったサイバー攻撃

4月7日―ハッカーがメディアや政府機関のユー
ザー認証情報を盗む

2月28日―ウクライナのデジタルインフラへの攻撃
は、金融やエネルギー資源へのアクセスを不能にする
3月4日―非政府組織、慈善団体、援助団体を狙うマルウェアが登場
3月7日―市民や政府サービスに対するフィッシング攻撃
3月9日―通信サービスプロバイダーへのサイバー攻撃
3月14日―CaddyWiper マルウェアがウクライナの複数の組織のコンピューターシステムに侵入
3月16日―ハッキングされたテレビ局「ウクライナ
24」は、ゼレンスキー大統領が住民に降伏を呼びかけたと虚偽の報道

4月8日―発電所の中断を試みる
4月14日―トロイの木馬型マルウェア経由でパブリックバンキングデータにアクセス
4月19日―ウクライナ国民の決済データ、ソー
シャルメディアページの調査を通じてアクセス
4月22日―ウクライナ国営郵便サービスへのサイバー攻撃
5月7日―オデッサ市議会に対するサイバー攻撃と並行して、オデッサの住宅地に対するミサイル攻撃が行われた5月9日―DDoS攻撃は、オンライントラフィックをフィルタリングし、ロシア占領下のウクライナ
領土に再ルーティングすることを目的としていた�

出典：欧州議会
https://www.europarl.europa.eu/RegData/etudes/BRIE/2022/733549/EPRS_BRI(2022)733549_EN.pdf

7

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

2. Lapsus$ APTによるNVIDIAデータ漏洩事件
3月1日、チップメーカーである同社は、2月にネットワークがハッキングされ、サイバー攻
撃者が従業員のログイン情報および機密情報にアクセスしたことを確認しました。
Telegraphが報じたように、NVIDIAが同社のシステムに何らかの影響を与えるインシデントを調査中であるという最初の声明に続いて、データ強奪グループであるLapsus$が、Nvidiaの1TBのネットワークデータの盗難を宣言するとともに、この攻撃の責任を主張しました。
週末、Lapsus$は、Nvidiaのサーバーのデータを含む20GBのアーカイブからなるハッキン
グに関する更なる情報を発表しました。さらに、このアーカイブには業務担当者のパスワー
ド・ハッシュも含まれていました。
ハッキング・グループは、GeForce RTX 30シリーズのファームウェアのライト・ハッ
シュ・レート（LHR）制約が削除されない場合、ハードウェア情報漏洩を実行するとNVIDIAに警告しました。また、サイバー攻撃者グループは、チップメーカー企業に対し、Windows、macOS、Linuxデバイス用のGPUドライバのオープンソース化に同意するよう要求したことが報告されています。

3. Contiランサムウェアによるコスタリカ攻撃
2022年4月11日、サイバー攻撃者はコスタリカ政府のネットワークに最初にアクセスし、偵察活動を行った後、Contiの名で最終的な攻撃を開始しました。
サイバーインテリジェンス企業Advanced Intelligence（AdvIntel）が発表したレポートによると、ロシアを拠点とするサイバー犯罪グループが最初にアクセス権を獲得してから、4月15日に672GBのデータを盗み出し、ランサムウェアを展開するまでの手順が説明されています。専門家によると、ファイル共有の出力は、Cobalt Strikeのバックドアチャネルを使用して、MemberXによってローカルデバイスにダウンロードされました。ハッカーは管理者の共有環境にアクセスし、Cobalt Strike DLLビーコンをアップロードし、リモートファイル実
行ツールPsExecを使用して実行しました。
専門家はまた、Contiの開発者がオープンソースの認証情報ダンプ・アプリケーション
Mimikatzを使用してDCSync攻撃とZerologon攻撃を実行し、コスタリカの相互接続ネット
ワーク上のすべてのホストにアクセスできるようにしたと述べました。
セキュリティ専門家がCobalt Strikeビーコンを発見した場合にアクセス権を失わないようにするために、攻撃者はAteraリモートアクセスツールを、管理者権限を持っているユーザー
アクティビティの少ないマシンにインストールしていました。

8

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

4. スパイスジェットへのランサムウェア攻撃
スパイスジェットは、インドのハリヤナ州に位置するグルガーオンを拠点に運航する格安航空会社でです。2019年3月現在、市場シェアは13.6％で、国内輸送旅客数では国内第2位の航空会社です。スパイスジェット社は、「当社の一部システムが昨夜ランサムウェア攻撃未遂に遭い、当日朝のフライト出発に影響を与え、遅れが出る現象がありました。スパ
イスジェット社のITチームはこの状況を食い止め、修正し、現在フライトは通常通り運航
しています」と発表しました。

5. ROMPETROL社へのランサムウェア攻撃
Rompetrol社は、年間500万トン以上の処理能力を持つルーマニア最大の石油精製所
Petromidia Navodari社を運営しています。
彼らが所属するKMGインターナショナルの子会社は、"複雑なサイバー攻撃"と戦っていると宣言しています。KMGインターナショナルは、ヨーロッパ、中央アジア、北アフリカの15カ国で事業を展開する世界最大級の石油会社です。精製、マーケティング、トレーディ
ング、生産、および掘削、EPCM、輸送などの石油産業サービスがKMGの主な事業のひとつとなっています。
ランサムウェア攻撃を受けて、石油供給会社はウェブサイトとガソリンスタンドでのFill&Goサービスの停止を余儀なくされました。匿名の情報により、攻撃者はPetromidia製
油所の内部ITネットワークにもアクセスしたが、Rompetrol社は製油所の操業に影響はないと主張しています。

9

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

6. TURLA APT
Turla APTグループは、情報セキュリティの分野ではSnake、Venomous
Bear、Uroburos、WhiteBearとしても知られており、少なくとも2004年以来活動を続けている高度なサイバー攻撃グループです。
この悪名高いグループは、世界中の有名な被害者の長いリストを持っています。APTは
様々なヨーロッパの政府機関や米国、ウクライナ、アラブ諸国の組織を攻撃しました。
Turlaの攻撃手法には、ハイジャックされた衛星接続、水飲み場攻撃、ルートキット、隠し
チャネルのバックドアなどを使った秘密裏の情報流出戦術があります。

7. MSTANG PANDA
国家を後ろ盾とする中国のハッカーが、Googleドライブに保存したパーソナライズされた
マルウェアを国際的な政府機関、学術機関、科学機関に拡散するスピアフィッシングを開始しました。
攻撃は2022年3月から10月にかけて観測され、研究者はサイバー諜報グループ「Mustang
Panda」（ブロンズ・プレジデント、TA416/MITRE ATT&CK）の犯行とみられています。
脅威グループが標的とした組織の大半は、オーストラリア、日本、台湾、ミャンマー、
フィリピンにありました。中国の脅威グループは、Googleアカウントを使用してターゲッ
トにおびき寄せるメールを送信し、Googleドライブのリンクからカスタムマルウェアをダ
ウンロードするよう仕向けていました。研究者は、Mustang

Pandaが地政学的な題材のメッセージを使用しており、その84％が政府・法的組織を標的にしていることを発見しました。
埋め込まれたリンクは、ターゲットを Googleドライブ、または Dropboxフォルダに誘導します。これらのリンクは、ToneShell、ToneIns、PubLoad固有のマルウェア亜種を含む
RAR、ZIP、JAR圧縮ファイルをダウンロードするよう誘導します。
この方法では、被害者がアーカイブに含まれる実行ファイルを起動すると、DLLがサイド
ローディングされるのが一般的でした。

10

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

8. HODUR - KORPLUG REVAMPED
Korplug RAT（PlugXとしても知られる）は、以前から中国のAPT組織と関連しており、さ
まざまな国の重要な機関を標的とした攻撃と関連しているスパイウェアです。
最近の活動で使用された変種のRAT機能は、以前のKorplug変種のRAT機能とほぼ一致しています。
Hodurはさらにいくつかのコマンドとプロパティを持っており、その結果、膨大なシステム
情報を収集する一方で、コマンドを実行したり、任意のファイルを読み書きしたり、リモートのcmd[.]exeセッションを起動したりする可能性があります。

9. LOG4J
2021年末、広く使用されているJavaベースのロギングライブラリApache Log4jに発見された重大なゼロデイ脆弱性に対する概念実証のエクスプロイトがオンラインで配布され、ホームユーザーと企業の両方が継続的なリモートコード実行攻撃にさらされた。
この脆弱性は、公式にはCVE-2021-44228とタグ付けされ、Log4ShellまたはLogJamと呼ばれており、Log4j2.0-beta9から2.14.1を実行しているシステム上で完全なシステム乗っ取りを可能にする認証されていないRCE脆弱性である。

11

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

2022年でもっとも強力な統計

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

2022年でもっとも強力な統計

このセクションは、Heimdal® の継続的なテレメトリーベースの脅威ハンティングの取り組みに特化したもので、エンドポイントベースのイベント、電子メール、ファイア
ウォール、ソフトウェアの脆弱性、電子メールなど（ただしこれらに限定されない）、
あらゆる攻撃サーフェスを網羅しています。

2022年、Heimdal®は2,500万件以上のサイバーセキュリティイベントを処理、対処、解決してきました。

13

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

イベントタイプ別サイバーセキュリティ・インシデント

エンドポイント型マルウェア

ACAD ファミリー 31,000以上
HTML マルウェア 300
JavaScript マルウェア 190,000以上
Linux マルウェア 2,000以上
LNK ファミリー 11,000以上
Mac OSX マルウェア600
フィッシング・コンポーネント7,800以上
PHP マルウェア 1,100以上

PUA 40,000以上
ルートキット 160以上
トロイの木馬280,000以上
VBA マルウェア 19,000以上
ワーム 71,000以上
ランサムウェア 31,000以上

エ
ン
ド
ポ
イ
ン
ト
ベ
｜
ス
マ
ル
ウ
ェ
ア

スパイウェア 14,000以上
アドウェア 11,000以上
アンドロイドマルウェア 2,000以上
悪意のあるアプリケーション 600以上.BAT マルウェア 1,600以上
サイバーセキュリティソリューションを模倣するアプリ 200
バックドア1,200以上
DDOS コンポーネント 100以上
ブラウザ・ハイジャッカー 150
DOS コンポーネント 180以上
ドロッパー 4,000
エクスプロイト 57,000以上
ヒューリスティック・マルウェア 58,000以上

14Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

エンドポイントベースのマルウェア検出数トップ20
マルウェア

脅威検出数

HTML/Infected.WebPage.Gen2

200,000以上

JS/Redir.G13

170,000以上

ACAD/Bursted.AN

28,000以上

TR/Worm.Gen

24,000以上

TR/AD.GoCloudnet.kabtg

20,000TR/Dropper.tfﬂr

19,000以上

EXP/CVE-2010-2568.A

17,000以上

TR/Rozena.jrrvz

16,000以上

EXP/PyShellCode.G

15,000以上

VBS/Ramnit.abcd

15,000以上

TR/CoinMiner.uwtyu

14,000以上

W32/Run.Ramnit.C

13,000以上

TR/Patched.Ren.Gen4

13,000以上

TR/Patched.Gen

12,000以上

TR/Trash.Gen

12,000以上

TR/Rozena.rfuus

11,000以上

HTML/ExpKit.Gen2

11,000以上

HEUR/APC

10,000以上

W32/Sality.AB.2

9,000以上

TR/Swrort.fkiqj

8,000以上

検出（および解決）されたエンドポイントベースのマルウェアの分類別分布HTML 33,1%
Javascript26,7%
トロイの木馬 23,4%
VBS 2,4%ウイルス 3,5%
ACAD 4,4%
エクスプロイト 5%

15

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

ネットワークベースの攻撃
2022年、Heimdal®は17,000,000を超えるネットワークベース（DNS、HTTP、HTTPSなど）のサイバー攻撃をブロックしました。
TLD（トップレベルドメイン）によるネットワークベースの攻撃.co 50,1%.com 34,5%
Other TLD 8,4%
.net 3,8%.org 3,2%

DNSベースの攻撃 - 年間の傾向

16

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

パッチ適用と脆弱性管理
Heimdal®が扱うCVEのCVSS重大度別カバー率

Eメールセキュリティ

2022年、Heimdal®は5,000万通以上のメールをスキャンしま
したが、そのうちの10%に有害なコンテンツが含まれていました

平均スパムスコア分類（500/500レコード）
500/500レコードのトップ5
3.1

32%

100

23.8%

6

7.2%

2.6

3.6%

4

3.2%

17

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

Heimdal 年末統計

• ブルートフォース試行を報告した組織の100%は、サードパーティ製パッチの適用数が少ない（直近90日間の改善対応パッケージが100未満）か、レガシーOSソフトウェアが多かった。
• 政府、医療、運輸は、他の産業と比べて16.3%も標的にされやすい(Heimdal®の2022年のデータに基づく）。
• ネットワークへの接続の23％は悪意がある。したがって、サイバーリスクを軽減するた
めには、セキュリティ意識向上トレーニングとエンドポイント保護が必要である。
(Heimdal®の2022年データに基づく）。
• 自動パッチを使用している組織では、手動パッチを使用している組織と比較して、5倍多くのOSベースのパッチを適用できる。(Heimdal®のデータ2022に基づく）• 自動パッチを使用している組織は、手動パッチを使用している組織と比較して、サード
パーティベースのパッチを2倍多く適用できる。(Heimdal® のデータ 2022 に基づく）

18

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

Heimdalとレジリエンス（回復or 耐久）の力

ANAFスピアフィッシング活動
ルーマニアの国税庁を装った新たなスピアフィッシング活動が検知されました。企業経営者
は、未納の税金があることを電子メールで知らされ、できるだけ早く納付するよう勧誘される文面が記載されています。
ルーマニアの地方当局は、企業経営者に対し、国に促されていない財政的勧誘に応じないよ
う、また、税金の不一致がないかどうか、その地域のANAF支部に確認するよう助言しています。これまでのところ、ANAFのスピアフィッシング活動による被害は報告されていません。
ここのところ、ルーマニア全土の事業主がANAFから電子メールを受け取っています。電子メールには、債務関連の詳細が記載されているとされる.xls文書など、いくつかの添付ファイルが同封されていました。このスピアフィッシング活動は、ANAFのLucian Heius会長
が、自然人（近代法の元、権利能力が認められている人間・個人）や中小企業の脱税に対抗するため、ANAFが国を挙げて財政調査に取り組むと発表してからわずか数週間後に行われました。
この声明がネット上で流行し、世論から反発を受けたことを考えれば、サイバ―犯罪者によってフィッシングツールにされるのは時間の問題でした。
今回のケースでは、多くの企業経営者がこのような電子メールに遭遇し、できるだけ早く税金を納めるよう促されています。メール自体には、文法的な問題や、場違いな注釈、フィッ
シングに関連するその他の特徴的なマークなど、疑念を抱かせるような要素はありませんでした。このユーザーの目には、これは単にANAFからの公式な通知と映り、その後.xlsドキュメントを開くよう促されます。.xls文書をpdf文書に置き換えたり、色調を変えたり、ロゴを追加したり削除したりといったバリエーションも発見されました。

19

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

Heimdal®、ロシアのサイバー犯罪動向に関する広範な調査を開始

Heimdal®は最近、ロシアに関連したサイバー犯罪の波に関する大掛かりな調査を開始しました。社内外の情報源から収集したデータに基づき、Heimdal®はこの問題が規模、頻度ともに拡大していることを発見しました。本記事では、SOCチームの発見を紹介し、方法論を明確にし、組織がこの増加傾向に対抗するのに役立つ実用的な戦略を提案します。
2021年1月から2022年10月下旬までの間に、1日平均約6.35件、8,000件以上のサイバー攻撃
がドメインから行われていました。IPベースのドメイン追跡は、サイバー攻撃者がオンライ
ン上の足跡を最小限にするために多大な労力を費やしたため、結果を返しませんでした。
最終的な数字を考察し、時間的な広がり、意図、特定のドメインが攻撃に使用された回数な
どの変数を考慮すると、ロシアベースの攻撃ドメインは指数関数的に増加していると結論づけるしかありません。
私たちの計算では、.ru TLDは前年比で167%増加しており、これは明確なウェブソースから得られたデータによって裏付けられています。
ロシアとウクライナの紛争が長引く中、より多くのサイバ―犯罪グループが現れ、サイバー世界にその痕跡を残すことが予想されます。Heimdal®のSOCチームが提供した数字は、脅威が現実のものであることを証明しており、停止や減速の兆候はありません。
背景と方法論のセクションで述べたように、検出されたドメインのうち、未公表のターゲットに対するサイバー攻撃に使用されたのはごく一部でした。バルクについては、プライマリ
ドメインが侵害された場合に使用できるバックアップドメインか、脅威者がボットネットを作成するためにこれらのドメインを生成している可能性があると推測できます。

20

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

Heimdal®、未知の犯人によるCEO詐欺未遂事件に対応

請求・経理部門のHeimdalの担当者は、会社のCEOから、受け取ったリンクトインの請求書2通の処理を手伝ってほしいという電子メールを受け取りました。
Morten Kjaersgaardを装った当事者は、経理部門にこれらの支払いをできるだけ早く処理するよう要請していました。メールを一見したところ、CEOを装った人物と経理部門との間の電子メールコミュニケーションチェーンは、ビジネスメール詐欺の試みに関連する指標（すなわち、誤字、文法的および／または論理的な矛盾、場違いなグラフィック要素、同封された支払いリンクなど）を一切示していないため、何の疑いも抱かせません。肉眼で見れば、これは合法的な部門間のコミュニケーションとして成立していたでしょう。
しかし、差出人の住所を詳しく調べたところ、矛盾が見つかりました。そのアドレスはMorten KjaersgaardのIDに関連付けられたOutlookの項目と一致せず、さらにそのアドレ
スは未知のクラウドメーリングサービスを指していました。この疑いに基づき、Heimdal®
の従業員は関係者に連絡し、フォレンジックに通報しました。
その後、この電子メールチェーンを分析した結果、CEO詐欺の試みであることが確認され、Heimdal®が相手ドメイン側に情報開示を請求することになりました。サンドボックスとブラストの結果、攻撃者の身元、意図、動機に関する情報は何も開示されませんでした。どちらのPDF文書もクリーンで、.vbsスクリプト、マクロ、リダイレクトリンクはありませんでした。

21

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

Heimdal®のXDRチーム、最近のCEO詐欺未遂事件と悪名高いトルコの脅威グループを関連付ける(...) Cobalt Terrapinは、かなり不明瞭な存在の脅威グループです。入手可能なすべてのデータから、このグループはおそらく2022年3月頃に出現し、トルコ語を話すブラックハット・ハッカーが集まっていると考えられます。その特徴は、ZoomInfoやLinkedInといった評判の高いベンダーの資料を活用していることにあります。
攻撃の成功確率を高めるために、このグループは重役になりすますテクニックを使用しています。この二重のアプローチが、この主張の正当性を高めているようです。これらを利用した言い回しや情報に対して、担当者が不審に思うことはまずありません。
Heimdal®のXDRチームが観察したように、Cobalt Terrapinは、ベンダーと幹部のなりすましからなる、きめの細かいソーシャルエンジニアリングに基づくアプローチを使用しています。今回のケースでは、Heimdal®のCEOになりすましたサイバ―攻撃者
が、LinkedInの請求書に記載された電子メールを転送することから始まりました。転送されたメールには、リンクトインのインボイスとW9（納税者番号と証明書の要求）の2つのPDF文書が添付されていました。
私たちのXDRチームがCobalt

TerrapinのTTPに踏み込んだところ、この攻撃グループが同じ添付ファイルを活用して他のHVT（High-Value Target：高価値ターゲット）にも攻撃を仕掛けていることが判明しました。しかし、これはこのグループの際立った特徴とはなりません。先に公表されたセキュリティアラートで指摘されたように、キルチェーン
は、標的にされた個人が確認の目的で会社のCEOに連絡した直後になされたからです。
CobaltTerrapinの手口に関して、Heimdalの分析チームは、顧客や他の企業が防御を改善し、認識を高めるのに役立つかもしれないいくつかの興味深い事実を明らかにしました。サイバー攻撃者のプロファイリングでは、被害者の反応を引き起こさないよう、特別な包囲技術を採用していることが指摘されたのです。

22

Heimdal® - Threat Report 2023

Leading the fight against cybercrime.

例えば、このケースでは、サイバー攻撃者はCEOの名前をメールのヘッダーに追加しています。ソーシャルエンジニアリングの観点からは、ほとんどのメールユーザーは送信者の名前の後に来るフィールドを読むことに興味がないため、このテクニックはステルス要素を大幅に増加させます。
電子メールの書式、文体、文調も、この特定のサイバー攻撃者を調査する際の注意点です。私たちは、3つのEメール構成領域すべてにおいて、目に見える変化があることを確認しました。典型的なスピアフィッシングの試みの粗雑さとはかけ離れた、ある程度リラッ
クスした、よそよそしく、フレンドリーなスタイルになっているようです。
第二に、この新しいアプローチは、"can "メソッド（例えば、"Can you take X action?"/
Xのアクションを起こせますか？）が暗示する「コストと意志のトレードオフ」により傾いており、この種の攻撃者が多用する権威的な押しつけ（例えば、Urgent/緊急、Act
now!/ 今すぐ対応を！、You have X minutes to get this done/あと○分しかない など）にはあまり傾いていないように見えました。全体的な文体を詳しく見ることで、Cobalt
Terrapinのソーシャルエンジニアリング戦略をさらに深く理解することができます。メー
ル自体には、文法的な間違いやタイプミス、論理的な矛盾など、この種のオンライン詐欺につきものの要素は一切含まれていません。このレベルの綿密さは、攻撃側の十分な計画性を示しています。
あえて言えば、Cobalt Terrapinは、ターゲットの特徴（例えば、企業規模、年間売上高、従業員数、重要なポジションの従業員のセキュリティ意識レベルなど）に応じてカスタマ
イズ可能な攻撃マトリックスを考案することで、ビジネスメール詐欺を思わせる全ての推測を取り除きたかったのかもしれません。
Cobalt Terrapinは、疑惑を招くような画面上の要素（例えば、太字のフォントやグラフィ
カルな要素、リクエストの緊急性を強調する件名を追加するなど）を一切捨てているように見えます。

23

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

XDRのチームによる調査も実を結ばなかったわけではなく、脅威グループの手口を解明することができました。その点、メールそのものが標準的なセキュリティチェックをすべてパス
していることは、少々気になるところです。メールヘッダ分析によると、スピアフィッシン
グメールはすべてのインバウンド検証テスト（なりすまし防止SPF、DKIM、DMARCなど）でグリーンのスコアを獲得していました。
しかし、BEC攻撃を行うほとんどのサイバー攻撃者は、セキュリティフィルターを回避する
ために、正規のサーバーを経由して電子メールを送信する傾向があります。Cobalt
Terrapinのケースでは、エンベローピングによって攻撃メールの機密性と可用性を確保する
ことは、基本的なメールセキュリティを回避するために使用されるテクニックの1つに過ぎません。
XDRの専門家が指摘したように、サイバー攻撃者は、請求書やW9書類を、会社の従業員と接触する前ではなく、接触した後に渡すことを好みます。このアプローチには2つの目的があります。-検知の閾値を下回ることと、リクエストの正当性を高めることです。

Heimdal®のセキュリティ研究者がDDoS 攻撃の急増を発見

2022年6月16日、Heimdal™はWordPressベースのスタックの異常なタイミングアウトを調査するよう依頼されました。コーディングミス、過負荷、不適切なロードバランシン
グ、設定ミスなどの可能性を除外した後、Nginxのバックログ、エラーログ、クラッシュ
ログなど、このインシデントに関する追加情報を収集し、WordPressのWordfenceセ
キュリティ機能から取得したデータと照合しました。弊社が処理を委託されたデータか
ら、このクライアントのサーバーのダウンタイムは恣意的なものではなく、大規模な分散型サービス拒否（DDoS）攻撃によるものであることが判明しました。この攻撃に目的があったのか、それともクライアントは偶然の攻撃を受けただけだったのか。分析の結果、
以下のことが判明しました。

24

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする• 未知のAPT：攻撃者の手口は、既知の攻撃や、徹底的に調査されたサイバー攻撃者に関連するTTP（戦術、技 術、手順）のいずれにも合致していませんでした。
• 攻撃の速度とその有効性を考慮し、ボットネットが使用されたと結論：Nginxのバックログから、200以上の動的IPが被害者のWPホストサーバーに殺到するために使用されていることが判明しました。その後のデジタルフォレンジックレポートによれば、攻撃
ボットネットは120Kのエンドポイントを収穫して使用し、未知の被害者を殺到させることに成功したといいます。
• クライアントの洪水：脅威者は、被害者のサーバーへのGETリクエストをループさせる
ために、初歩的なGolangで書かれたクライアントを配置しました。実際のコードをサン
プリングすることはできませんでしたが、Heimdalの分析により、この攻撃に使用されたクライアントはオープンソースのレポに由来し、Go-http-clientやGo-http-client/2.0などのツールと多くの類似点があることが判明しました。
• 一つのURLで、予期せぬ応答を引き起こす：攻撃者は、リソースを使い果たさせるために1つのURLにクライアントを殺到させ、WPベースのサーバーを数分間停止させました。
• 高速の攻撃：Nginxのバックログによると、GET Flood攻撃は2秒以内に発生していました。
• ゾンビ化したマシン：攻撃に使用されたすべてのIPを追跡すると、東南アジアとアフリ
カにありました。
• ブルートフォース：Wordfence の相関データによると、サーバーがホストするリソースにアクセスするために、攻撃中にブルートフォース技術が使用された可能性があります。

25

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

Heimdalの2023年脅威予測

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

Heimdal®の最高経営責任者（CEO）であるMorten Kjaersgaard氏は、脅威の次元の高さを強調しました。予測に関しては、我々は防御側と攻撃側という2つの側面に直面しています。
防御側の2023年の課題とチャンス:

ポイントソリューションの死が近づいているー

統一こそが未来

今日のCISOやその他の意思決定者は、可視性と効率性を高めるために、予防、検知、軽減を一元的に提供するアーキテクチャを重視しています。
サイバーセキュリティの脅威がそれほど多くなかった時代に作られた時代遅れのポイント
ソリューションや人材不足により、企業はITの脅威に対する高い要求を満たすために集中型のソリューションに依存し続けるでしょう。

自動化と可視化ツールへの注目が高まる
自動化の波は今後も続くでしょう。セキュリティシステムはほぼ無限のデータを生成しま
すが、どのチームもそれをリアルタイムで処理し、タイムリーに対応することはできません。サイバー脅威の進化はあまりにも速いです。熟練したサイバーセキュリティの専門家
不足は深刻です（そして、現在市場にいる専門家でさえ、この業界で最も危険なリスクの1つであるヒューマンエラーにさらされているのです）。さらに、ハッカーもまた、自動化を利用しています！
リアクティブセキュリティ（問題が起こってから反応するセキュリティ）からプロアクティブセキュリティ（積極的に脅威を防止するセキュリティ）に移行し、環境とスケ

ジュールのコントロールを取り戻すには、アナリティクス、インテリジェンス、自動化が不可欠です。企業のIT環境では、セキュリティオートメーションが潜在的な脅威を特定し、イベントを評価して本物か偽物かを判断し、脅威を封じ込め、排除します。人間の手を借りずに、自動化されたセキュリティ・ツールはこれらのアクションを数秒で完了します。
サイバーセキュリティの自動化は、アラートを調査し、脅威を特定し、攻撃の影響を軽減することで、セキュリティチームのアラート疲れを最小限に抑えます。

27

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

根本的な転換は脅威の可視化と対応にある
Heimdal®は、Security Orchestration、Automation and Response(SOAR)、Security Information and Event Management (SIEM)のテクノロジーとエン
ジニアリングに新しいアプローチを提供することで、サイバーセキュリティ市場に新しいカテゴリーを創造しています。
攻撃側の2023年の課題とチャンス:

MSPは多層的な攻撃対象としてサプライチェーンの主要な標的となっている
昨年の予測と同様に、2023年にはサプライチェーンへの攻撃が大幅に増加すると予測しています。ソフトウェア・サプライチェーンへの攻撃は、悪意のある行為者がMSPやソフト
ウェアベンダーのネットワークにアクセスし、ベンダーが顧客にソフトウェアを配布する
前にソフトウェアを侵害することで発生します。
MSPが対応する時間が少なくなり、ベンダーによるソフトウェアのリリースサイクルが速くなったため、開発者がセキュリティ上の欠陥を特定して対処する時間が少なくなってい
る現状があります。
ITアウトソーシングの急速な増加に伴い、特にMSPはサイバー犯罪者の格好の標的となっています。
これは当然、多層的な攻撃対象につながり、顧客データやITシステムを著しく危険にさらす可能性があります。ソフトウェア・サプライチェーンに対する攻撃は、2020年と比較して2021年には300％以上増加し、2023年にはさらに増加すると予測しています。
NISTがサプライチェーンへの攻撃や侵害から金融機関を守るための徹底的な手引きを発表したことや、サプライチェーンへの攻撃に関する2022年のニュース（US ne
wspapers、Oktapus、Comm100 Live Chatアプリケーションの詳細を参照）が数多くあることは、この脅威がいかに深刻であるかを明確に示しています。

28

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

ランサムウェアに巻き込まれる消費者たち
サイバー犯罪者は、Steam、Origin、Blizzardなどのインターネットベースのソフトウェ
ア配信サービスを侵害し、サービスが提供するシステム権限を通じて超複雑なランサム
ウェア攻撃を行うことに成功しています。そのため、サプライチェーン攻撃はもはやB2B
ベースだけでなく、攻撃範囲を消費者空間にまで拡大し、エクスプロイトからランサム
ウェアへの大量送金攻撃を行うことになるでしょう。

攻撃者はより大胆になり、戦略的目標を達成するためにより多くの出費をする
サイバーセキュリティ犯罪者は、攻撃を完了するのに十分な時間と豊富なリソースを持っています。
この種の攻撃は、サイバー犯罪者が後進国のリソースを利用したり、北朝鮮、ロシア、中国、イランなどの国家的支援を受けたりするため、通常、1カ月あたり数万ドルに上ります。組織化された攻撃であっても、成功が保証されているわけではないからです。しかし、報酬が数千万ドルになれば、そのコストは取るに足らないものになります。

欧州と米国のインフラに戦略的フォーカス
輸送、エネルギー、その他の重要インフラの例は、より複雑化し、相互接続されたデバイ
スのネットワークに依存している。したがって、当然のことながら、今日、重要インフラ
が技術的な障害やサイバー攻撃を受けやすいことが大きな懸念となっています。ロシアとウクライナの戦争のような最近の出来事は、こうした懸念に拍車をかけているのです。
国家や非国家主体は現在、国の重要なインフラを不安定化させるための技術的ノウハウ、動機、資金力をかつてないほど有しています。DSBに対する最近のサイバー攻撃は、サードパーティのITサービス・プロバイダーに対するオンライン上の脅威が、現実の世界でいかに深刻な混乱を引き起こしうるかを如実に示しているのです。

29

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

スパイ活動と情報作戦が増加
情報操作とサイバースパイが増えるでしょう。情報操作の常套手段であるイラン、中国、ロシアは、自分たちの目的に最も適したシナリオを推進し続けることでしょう。
さらに、米国が国際機関や国家に対する義務を果たさなかったという考え方も強調されていきます。
ロシアのウクライナ侵攻は、少なくとも3つの別々の、時には協調的なプロセスを伴うサ
イバー戦略によって以下の攻撃が支えられていることがすでにわかっています。それは、ウクライナ国内での破壊的なサイバー攻撃、他国へのネットワーク侵入とスパイ活
動、そして世界中の人々を狙ったサイバー影響工作です。

Deepfakes（ディープフェイク）はますます危険になる
ディープフェイク・テクノロジーは、人工知能の技術を用いて、既存の、あるいはまっ
たく新しいオーディオやビデオのコンテンツを操作します。風刺やゲームなど、合法的な目的で使用されることもありますが、他のものと同様に、悪意のある攻撃者によって悪用されることもあります。
ディープフェイクは、信頼できる情報源から発信されたように見せかけたストーリーをでっち上げるために使われます。主な脅威は、市民社会に対するもの（特定の方向に世論を動かすために虚偽の情報を流すこと）と、悪意ある行為者が利益を上げるために人々や企業に対して行うものの2つです。
人々が真実と嘘の区別がつかなくなれば、ディストピア的未来への道が開かれてしまいます。
ディープフェイクは、フィッシングやBEC攻撃をより成功させ、ID詐欺をより簡単にし、ブランドの評判を歪めて株式価値を大幅に下げる可能性があるため、企業にとって重大なサイバーセキュリティの脅威となります。

30

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

サイバー脅威の先を行く準備はできていますか︖

Heimdal®がどのようにお役に立てるかをご紹介しますHeimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

脅威の防止
DNSセキュリティ エンドポイント脅威防御
DNSセキュリティ エンドポイントは、リアルタイムでトラフィックをスキャ
ンし、感染したドメインをブロックし、最小限のシステムフットプリントでサイバー犯罪インフラへの通信を防止します。

DNSセキュリティ ネットワーク脅威防御
DNSセキュリティ ネットワークは、独自の脅威ハンティングとネットワーク
全体の究極の可視性を提供します。デバイスやオペレーティングシステムに関係なく、A to Z の保護を提供します。

アプリケーション制御
アプリケーション・コントロール
実行中のアプリケーションのホワイトリスト化とブロックのために作成されたアプリケーション管理ソリューションです。ライブセッションをカスタマイズ
し、外出先ですべてのログを記録し、ユーザーが悪意のあるソフトウェアを実行するのを防ぐことができます。

32

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

脆弱性管理
パッチと資産管理
このソリューションにより、マイクロソフト、サードパーティ、独自ソフトウェ
アを、世界中のどこからでも、任意のスケジュールに従って、オンザフライでデプロイし、パッチを適用することができます。ソフトウェアインベントリ全体を完全に可視化し、きめ細かくコントロールすることができます。

エンドポイント検出
アンチウイルス＆MDM
1つのライセンスと1つのコンソールー次世代アンチウイルスとMDMのすべてを統合
し、ランサムウェア、隠れたバックドア、ルートキット、ブルートフォース攻撃、検出不可能なマルウェアなどの高度なオンラインの脅威を検出します。

ランサムウェア暗号化防御
ランサムウェア暗号化防御は、100%シグネチャ不要の画期的なソリューションで、ランサムウェア攻撃による悪意のある暗号化の試みからデバイスを保護します。

Eメール保護
Eメール詐欺防止
125の分析ベクトルとライブの脅威インテリジェンスを組み合わせることで、ビジネスメール詐欺、CEO詐欺、フィッシング、複雑なマルウェアを特定し、侵害される前に阻止することができます。

33

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

Eメールセキュリティ
クラウドおよびオンプレミスの電子メール保護ソリューションで、Office
365のサポートと独自の電子メール脅威防御を組み合わせて、メール配信の脅
威やサプライチェーン攻撃から保護します。

アシスタンス
リモートデスクトップ
クラウドおよびオンプレミスの電子メール保護ソリューションで、Office
365のサポートと独自の電子メール脅威防御を組み合わせて、メール配信の脅
威やサプライチェーン攻撃から保護します。

34

Heimdal

脅威レポート2023

サイバー犯罪との戦いをリードする

Heimdalについて

2014年にデンマークのコペンハーゲンで設立されたHeimdal®は、クラウドベースのサイ
バーセキュリティソリューションの欧州大手プロバイダーです。同社は、脅威防御、パッチ
および資産管理、エンドポイント権限管理、アンチウイルスおよび電子メールセキュリティ
を組み合わせた多層的なセキュリティスイートを提供しており、これらのセキュリティス
イートを組み合わせることで、サイバー攻撃から顧客を保護し、重要な情報や知的財産の安全を守っています。Heimdalは業界のオピニオンリーダーとして認められており、そのソ
リューションと教育コンテンツの両方で複数の賞を受賞しています。
現在、Heimdal®のサイバーセキュリティソリューションは60カ国以上で展開され、175人
以上の優秀なスペシャリストによって世界中のオフィスから地域ごとにサポートされています。 Heimdal®はSOC 2 Type IIおよびISAE 3000の認証を受けており、11,000以上の組織で300万以上のエンドポイントを保護しています。予測可能性と拡張性に基づき、譲歩することなくパートナーをサポートし、持続可能なエコシステムと戦略的パートナーシップを構築しています。

35

サイバー犯罪との戦いをリードする

www.heimdalsecurity.com©2022 Heimdal® Security

All other product and company names

Vat No. 35802495, Vester

mentioned are trademarks or registered

Farimagsgade 1, 2 Sal, 1606 København V

trademarks of their respective owners.