ビジネス認証情報がダークウェブに流出する仕組み

盗まれたパスワードが1つあっても、すぐに大混乱を引き起こすわけではありません。漏洩したデータベースに保管されていたり、数千件もの他の記録とバンドルされている可能性もあります。取引され、転売され、他のサービスに対して試され、あるいは数週間後に元の侵害とは無関係に見えるフィッシングキャンペーンで使われることもあります。

企業がアカウントの1つが露出していることに気づく頃には、その認証情報はすでに何人もの手に渡っているかもしれません。だからこそ、ダークウェブ上のビジネス認証情報の管理は非常に難しいのです。侵害はある場所で発生し、データは別の場所に現れ、その後に続く攻撃はまったく別のシステムを標的にすることがあります。

これらの認証情報がダークウェブに現れる頃には、侵害はすでにどこかで起きています。そこで見えてくるのは次のリスクです。誰がデータを見つけられるのか、誰がそれを再利用できるのか、そして企業がどれだけ迅速に対応できるのか。ダークウェブ上のビジネス認証情報はサイバー犯罪者にとって貴重な資源であるため、データ侵害の影響を受けた場合に備えておく必要があります。

ビジネス認証情報が盗まれる手口

企業が認証情報の漏洩に気づくまでに、数日、数週間、さらには数カ月かかることもあります。偽のログインページで取得されたり、感染したデバイスから抜き取られたり、サプライヤーの侵害で露出したり、古い個人アカウントから再利用されたりして、最終的には盗まれたデータが大量に売買されるダークウェブのマーケットプレイスに行き着くことがよくあります。

フィッシング

フィッシングメールは、認証情報を盗むための一般的な経路であり続けています。従業員が、見慣れたSaaSプラットフォームに見えるページにたどり着いたり、サインインを求めるドキュメントリクエストを開いたり、信頼できるサービスから届いたように見えるメッセージに従ったりすることがあります。認証情報が入力されると、攻撃者はそれをすぐに使うか、後日のために保存しておくことができます。1回のフィッシング攻撃が成功するだけで、侵害されたアカウントがアクセスできるすべてのシステムが露出する可能性があります。

ランサムウェア

他の漏洩は、それほど目に見えません。ランサムウェアのインシデントでは、攻撃者はシステムを暗号化する前にファイルを盗み出すことがあります。そこにはアカウント一覧、構成ファイル、パスワード、アクセス記録などが含まれます。サプライチェーンの侵害では、たとえ企業自身のシステムが最初の侵害地点でなかったとしても、ベンダー、請負業者、ソフトウェアプロバイダー、マネージドサービスパートナーを通じて認証情報が露出することがあります。

再利用パスワード

従業員が個人と仕事のアカウントで同じパスワードを使い回すと、社外で起きた侵害でもビジネスの問題になり得ます。攻撃者は、まず業務システムに侵入する必要はありません。すでに漏洩した認証情報を数十のサービスで試し、どこでまだ使えるかを確認できるのです。これはクレデンシャルスタッフィングとして知られる攻撃です。

インフォスティーラー型マルウェア

従業員のデバイスも、露出の原因になり得ます。インフォスティーラー型マルウェアは、デバイスから保存済みのパスワード、ブラウザセッション、cookie、自動入力データ、その他の機密情報を収集するように作られています。そのデバイスが仕事に使われている場合、たとえ時々であっても、個人の侵害が攻撃者にビジネスアカウントやツール、コミュニケーションチャンネルへのアクセスを与える可能性があります。

認証情報が犯罪者のデータセットやダークウェブのソースに現れる頃には、元の窃取からすでに数日、数週間、あるいは数カ月が経っているかもしれません。企業が対応しているのは、漏洩したパスワードだけではありません。不確実性への対応でもあります。その認証情報がどこから来たのか、誰が見たのか、試されたのか、そして他に何が一緒に露出したのか。これらが分からないのです。

認証情報が盗まれた後に何が起きるのか

認証情報は盗まれると、1か所にとどまっていることはほとんどありません。より大きな侵害データセットに追加されたり、非公開で共有されたり、大量に販売されたり、異なるグループによって別々の目的で使われたりします。直接アカウントへアクセスしたい攻撃者もいれば、転売できる有効なビジネスメール、パスワード、セッションデータ、管理者アカウントのリストを求める攻撃者もいます。

その価値は、認証情報が何を解き放つかによって決まります。

従業員の基本的なログイン情報は、フィッシングや内部偵察に役立つことがあります。
使い回されたパスワードは複数のアカウントを解錠できる可能性があります。
管理者の認証情報は、設定、顧客データ、請求情報、ユーザー管理へのアクセスを可能にする場合があります。
金融アカウントのログイン情報は、支払い詐欺に利用される可能性があります。
SaaSの認証情報は、ドキュメント、メッセージ、プロジェクトデータ、顧客記録を露出させる可能性があります。

ダークウェブ上のビジネスデータが危険なのは、破壊的な行動に使われ得るからです。認証情報はアカウントを解錠するかもしれませんが、部分的な記録であっても、攻撃者が誰になりすますか、どの顧客を標的にするか、どの財務プロセスを模倣するか、次にどの従業員に圧力をかけるかを把握する助けになります。企業にとっては漏洩したデータベースに見えるものでも、詐欺やフィッシング、ビッシング、アカウント乗っ取りを準備している者にとっては、一連の好機に見えるかもしれません。

Protonのデータ侵害オブザーバトリー⁠を紹介する記事では、多くの侵害がニュースにならず、問題の真の規模が隠されていることを説明しました。Protonは、ビジネスデータがどこでダークウェブに漏れているかを示し、組織が現実の露出から生じる新たなリスクを理解できるようにするために、オブザーバトリーを構築しました。

ダークウェブで最も価値のあるビジネスデータとは

ダークウェブ上で最も価値のあるビジネスデータは、パスワードや支払い詳細だけにとどまりません。攻撃者は、アカウントへのアクセス、従業員へのなりすまし、顧客の標的化、ビジネスの運営方法の把握に役立つあらゆる情報を探していることがよくあります。

Protonのデータ侵害オブザーバトリー⁠は、露出したビジネスデータがいかに多様であるかを示しています。名前やメールアドレスから、連絡先の詳細、パスワード、さらなる攻撃を後押しするその他の記録までさまざまです。部分的な情報であっても、他の漏洩によるデータと組み合わせると有用になり得ます。

攻撃者にとって最も価値のあるビジネスデータには、通常次のものが含まれます。

ログイン認証情報：メールアドレス、パスワード、セッションcookie、認証トークンは、攻撃者にビジネスアカウントへの直接的な侵入経路を与える可能性があります。従業員が複数のツールでパスワードを使い回している場合や、MFAが有効になっていない場合、このリスクは高まります。
従業員情報：氏名、役職、業務用メールアドレス、電話番号、組織の詳細は、攻撃者が誰を標的にすべきか、そしてメッセージをいかに本物らしく見せるかを特定する助けになります。このデータは、フィッシング、なりすまし、ビジネスメール詐欺の試みを後押しする可能性があります。
顧客データ：氏名、連絡先の詳細、住所、アカウント情報、購入履歴は、詐欺、個人情報の盗用、フィッシング、ソーシャルエンジニアリングに使われる可能性があります。このデータにパスワードが含まれていなくても、攻撃者が詐欺をより個別具体的で説得力のあるものにする助けになります。
財務・支払い情報：請求書、銀行の詳細、請求記録、税務書類、支払いデータは、請求書詐欺、支払い先変更詐欺、サプライヤーやパートナーへのなりすましの試みに利用される可能性があります。
社内ビジネス文書：契約書、サプライヤー一覧、プロジェクトファイル、戦略文書、運用記録は、すぐにアカウントへのアクセスをもたらすわけではありませんが、ビジネスの仕組み、依存している相手、攻撃者が弱点を見つけられる場所を明らかにする可能性があります。

使い回されたパスワード、漏洩した認証情報、推測しやすい組み合わせは、ビジネスアカウントに侵入する最も簡単な方法です。エクスプロイトは不要で、必要なのはリストと忍耐だけです。しかし、他の露出したデータも、攻撃者がより標的を絞った攻撃を組み立てるのに役立ちます。ビジネス情報がダークウェブに現れると、リスクは1つのアカウントが侵害されることだけではありません。同じデータが、元の侵害から長い時間が経った後も再利用され、組み合わされ、悪用される可能性があります。

ダークウェブで自社のビジネス認証情報を見つけた場合の対処法

ダークウェブの活動が直接もたらす損失について正確な推計はありませんが、はるかに大きなサイバー犯罪経済の中で一定の役割を果たしています。学術レビューGlobal Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(新しいウィンドウ)では、世界のサイバー犯罪による損害総額は年間約$ 5,000億と推計されており、その範囲は$ 1,000億から$ 1兆程度とみられています。ダークウェブのフォーラムやマーケットプレイスは、盗まれた認証情報、個人データ、ビジネス情報を取引、組み合わせ、再利用しやすくすることで、このエコシステムに寄与しています。

ダークウェブでビジネス認証情報が見つかった場合、最優先すべきは、攻撃者がまだそれを使える可能性を減らすことです。数カ月前に露出した認証情報でも、パスワードが変更されていない、多要素認証（MFA）が設定されていない、同じパスワードが他のツールで使い回されているといった場合には、まだ有効である可能性があります。

1. 影響を受ける可能性のあるアカウント、従業員、システムを特定する

露出したパスワードをリセットし、アクティブなセッションを失効させ、同じまたは類似したパスワードが他の場所で使われていないかを確認します。そのアカウントがメール、ファイルストレージ、財務システム、顧客データ、管理者パネルなどに接続している場合は、よりリスクが高いものとして扱い、最近のアクティビティを確認して不審なログイン、転送ルール、権限の変更、異常なダウンロードがないか調べます。

露出した認証情報に個人データが含まれる場合は、そのインシデントを所管の監督機関、英国ではICO(新しいウィンドウ)、EU加盟国では各国のデータ保護機関に報告する必要があるかどうかを評価してください。英国とEUのGDPRはいずれも、すべての個人データ侵害が報告義務の対象となるわけではありませんが、侵害が人の権利と自由にリスクをもたらす可能性が高い場合には、組織は通知しなければなりません。ICOの侵害の報告(新しいウィンドウ)⁠に関するガイダンスは、企業がインシデントを評価し、報告プロセスを理解するのに役立ちます。

2. 可能な限りMFAを必須にする

メール、管理者アカウント、クラウドプラットフォームなど、機密性の高いビジネスデータを含むツールに重点を置くようにしてください。MFAがすでに有効になっている場合は、認証方法と復旧オプションを見直し、侵害されたバックアップコード、脆弱な回復用メールアカウント、ソーシャルエンジニアリングを通じて攻撃者がMFAを回避できないようにします。

3. 影響を受けた社内ユーザーに通知する

次に、影響を受けたチームメンバーに連絡し、何を変更すべきか、何に注意すべきかについて明確な指示を出す必要があります。認証情報がダークウェブに現れると、攻撃者はそれをクレデンシャルスタッフィング、フィッシング、なりすまし、あるいは侵害された1つのアカウントから他のビジネスシステムへ移動する試みに利用する可能性があります。

4. アクセス制御を見直す

未使用のアカウントを削除し、権限を更新し、共有されている認証情報を確認し、従業員がすべてのビジネスサービスで固有のパスワードを使っていることを確認します。パスワードマネージャーは、チームがより強力なパスワードを生成し、安全に保管し、パスワード自体を露出させずにアクセスを共有することを可能にし、管理者にリスクの高いパスワード行動へのより良い可視性を提供します。

5. さらなる露出を監視し続ける

最後に、将来の露出を監視し続けてください。ダークウェブ上のデータは、元の侵害から長い時間が経った後に再び現れたり、再パッケージ化されたり、他の漏洩と組み合わされたりすることがあります。露出した認証情報を早期に発見できれば、攻撃者が漏洩データをアカウント乗っ取り、詐欺、あるいはより広範なセキュリティインシデントに変える前に、企業がアクセスをリセットできる可能性が高まります。Proton Pass for Businessのようなビジネス向けパスワードマネージャーを使えば、脆弱なアカウントを特定し、データ侵害アラートを1か所で受け取れるため、誰かが探しに行かなくても露出が表面化します。

Pass Monitorが認証情報の露出検知にどのように役立つか

ダークウェブでの露出は、しばしば遅れて断片的に現れます。漏洩したメールアドレスが1つのデータセットに、パスワードが別のデータセットに、関連する個人情報がまた別の場所に現れることがあります。監視は、露出した認証情報がアカウント乗っ取り、フィッシング、詐欺で静かに再利用される前に、そうしたシグナルをより早く表面化させる助けになります。

Proton Pass for Business⁠のようなビジネス向けパスワードマネージャーを使えば、チームは認証情報を暗号化されたパスワード保管庫に保存し、固有のパスワードを生成し、ログインを自動入力し、アクセスを安全に共有し、パスキーを管理し、組み込みの2要素認証を利用できます。ポリシー、レポート、ログ、グループ管理、SCIMプロビジョニング、SSO連携といった管理者向け機能は、ビジネスの成長に合わせてアクセスを管理された状態に保つのに役立ちます。

ダークウェブモニタリングツールは、Proton Pass for Businessの機能で、ビジネス上の脆弱なアカウントを特定し、データ侵害のアラートを一か所で受け取るのに役立ちます。ダークウェブモニタリング、パスワードの健全性チェック、非アクティブな2要素認証アラートが含まれます。

Pass Monitorは、データ漏洩によって個人情報が侵害されたときにユーザーに警告し、再利用されたパスワードや脆弱なパスワードを特定できます。パスワードの健全性は、そのパスワードの解読にかかる時間を推定するため、チームは数秒で破られるパスワードと、解読に何年もかかるパスワードの違いを把握できます。

また、2要素認証が無効になっているアカウントも強調表示します。これは重要な追加のセキュリティ層であり、漏洩したパスワードが単なる不便で済むか、侵害につながるかの違いを生むことがよくあります。データ侵害が手遅れになってから発覚するのを待つのではなく、ビジネスを守るために必要なツールを導入しましょう。

ビジネス用パスワードマネージャー⁠で、ダークウェブ上のビジネス認証情報を監視しましょう。