ダークサイド () は、ランサムウェアと恐喝を使用して被害者から身代金を奪うハッカー集団である。グループ名だけではなく、彼らの使用するランサムウェア自体の名前も指すカスペルスキーは、Windows用のランサムウェアを「Trojan-Ransom.Win32.Darkside」、Linux用を「Trojan-Ransom.Linux.Darkside」と名付けて分類している。。 ロシアまたは東ヨーロッパを拠点にしていると推測されており、や東芝へのサイバー犯罪を行った犯行グループとして知られるDustin Volz, U.S. Blames Criminal Group in Colonial Pipeline Hack, Wall Street Journal (May 10, 2021).Charlie Osborne, Researchers track down five affiliates of DarkSide ransomware service, ZDNet (May 12, 2021).。ダークサイドは運営する自身のサイトで「非政治的」な組織と主張している。
概要
拠点 ダークサイドは東ヨーロッパ、おそらくロシアに拠点を置いていると考えられているが、著名な他のハッカー集団とは異なり、ロシアの諜報機関が直接運営しているとは考えられていないDustin Volz, U.S. Blames Criminal Group in Colonial Pipeline Hack, Wall Street Journal (May 10, 2021).Nicolás Rivero, Hacking collective DarkSide are state-sanctioned pirates, Quartz (May 10, 2021).。同グループも「我々を特定の政府と結びつけて、動機を探す必要はない」と否定している。
セキュリティ専門家は、このグループは「ロシアで増殖・繁栄している数多くの営利目的のランサムウェアグループの1つ」であり、ロシア当局から暗黙の承認を受けており、外国をターゲットとする限り、その活動を容認されていると述べている。
分析会社チェイナリシスによると、暗号資産犯罪においてロシア圏が「大きなシェア」を占めているという。2020年はロシア製のランサムウェアによる被害額が全体の86％、2021年は92％を占めていると推計している。
FBIのレイ長官は「最近のランサムウエア攻撃は、FBIが調査中の約100種のランサムウエアのほんの一部にすぎない。100種のランサムウエアが、米国で発生した複数のランサムウエア攻撃に関与している。そしてロシアは、多くのランサムウエア犯罪に携わる者の温床となっている」と発言している。
ターゲット ダークサイドの使用するランサムウェア「DarkSide」は、システムの言語設定をチェックすることで、特定の地域にいるターゲットを回避している。除外リストには、独立国家共同体（ソビエト連邦の崩壊時に、ソ連を構成していた15か国のうちバルト三国を除く12か国によって結成された国家連合体）の12カ国の言語に加えて、シリアのアラビア語が含まれているCybereason vs. DarkSide Ransomware, Cybereason (April 1, 2021).。
この言語チェック機能は、ランサムウェアのインスタンスを構築する際に無効にすることができ、そのようなバージョンの1つが2021年5月に観測されたhttps://www.fireeye.com/blog/threat-research/2021/05/shining-a-light-on-darkside-ransomware-operations.html。
ファイア・アイによれは、ダークサイドはこれまでに15カ国以上の企業や組織を狙って攻撃をしており、トレンドマイクロの調査によると、2020年8月から2021年4月までの間に、「DarkSide」が世界で800台弱検出されている。 ダークサイドが最も標的としている国はアメリカであり、500件以上検出されている。それから、フランス、ベルギー、カナダと続くWhat We Know About the DarkSide Ransomware and the US Pipeline Attack, Trend Micro Research (May 14, 2021).。 なお、同期間の日本での検出台数は3台と非常に少なかった。
マカフィーが観察した25か国のうち攻撃の影響を受けたデバイス数（100万台あたり）が多いのは、イスラエル（1573.28）、マレーシア（130.99）、ベルギー（106.93）、チリ（103.97）、イタリア（95.91）、トルコ（ 66.82）、オーストリア（61.19）、ウクライナ（56.09）、ペルー（26.94）、アメリカ（24.67）の順であるThreat Profile: DarkSide Ransomware, MVISION Insights, McAfee.。
イメージ戦略 言語による除外の他に、保健センター、学校、および非営利団体などの施設は攻撃対象から除外されている。 ダークサイドは公式サイトで、「病院、学校、非営利団体、政府ではなく、多額の身代金を支払う余裕のある企業を狙う」ことを公言しているAlert (AA21-131A): DarkSide Ransomware: Best Practices for Preventing Business Disruption from Ransomware Attacks, Cybersecurity and Infrastructure Security Agency/Federal Bureau of Investigation (May 11, 2021, last revised May 12, 2021).。
また、同グループは身代金として奪った2万ドルを2020年10月に慈善団体に寄付したと主張しており、義賊の「ロビン・フッド」のようなイメージを作ろうとしているとされる。 だがCybereasonによると、その寄付金の出所が盗まれた仮想通貨だったため、複数の慈善団体から受け取りを拒否されたという。
ビジネスモデル ダークサイドは大きく分けると、ランサムウェアを開発するグループと、｢パートナー｣と呼ばれる外部の実行役ハッカー（アフィリエイト）に大別されるMichael Schwirtz & Nicole Perlroth, DarkSide, Blamed for Gas Pipeline Attack, Says It Is Shutting Down, New York Times (May 14, 2021).。積極的な宣伝を通じてアフィリエイトパートナーを募り、攻撃を実行させる。
ダークサイドが開発した「DarkSide」を使用するにはアフィリエイターになる必要があり、それには審査で合格しなければならない。加入できた者はパートナーと認められ、RaaSの管理パネルへのアクセス権が与えられる。そこからランサムウェアのある程度のカスタマイズや、身代金の管理まで可能である。アフィリエイトプログラムにはソフトウェアや仕様書と、使い方の練習方法などを含む「ツールキット」が提供される。
そしてこのツールを使用し身代金を手に入れることができた場合、その一部をダークサイドに納めるというビジネスモデルであるCharlie Osborne, Researchers track down five affiliates of DarkSide ransomware service, ZDNet (May 12, 2021).Chris Nuttall, DarkSide's ransomware-as-a-service, Financial Times (May 10, 2021).Alert (AA21-131A): DarkSide Ransomware: Best Practices for Preventing Business Disruption from Ransomware Attacks, Cybersecurity and Infrastructure Security Agency/Federal Bureau of Investigation (May 11, 2021, last revised May 12, 2021).。 ダークサイドの取り分は、身代金が50万ドル未満の場合は25％、500万ドルを超える場合は10％とされている。
RaaS この様な、他のサイバー犯罪者が使用するマルウェアを開発・販売するビジネスモデルは、IT業界で普及している業務ソフトの販売手法「SaaS」（ソフトウエア・アズ・ア・サービス）に似ていることから、「RaaS」（ランサムウェア・アズ・ア・サービス）とも呼ばれている。 セキュリティ企業のMandiantは、DarkSide RaaSプラットフォームの異なる関連会社を示す可能性のある5つの脅威活動のクラスタを記録しており、そのうちの3つ（UNC2628、UNC2659、UNC2465）について説明しているhttps://www.fireeye.com/blog/threat-research/2021/05/shining-a-light-on-darkside-ransomware-operations.html。
RaaSによって、スキルを持たない素人でもツールを購入すれば簡単にサイバー攻撃を仕掛けることが可能になった。南カリフォルニア大学のノイマン准教授は「ツールの開発者はパートナーの犯罪行為を手助けしながら、継続的な収益を得ることができる」と両者が相互依存の関係にあると指摘している。
バイデン政権の担当官は、「（ハッキング技術が）サービスとして提供され、収益が分配されるという、新しくて非常に厄介なタイプだ」と語った。ランサムウエアは猛威を振るっており、チェイナリシスによると2020年の身代金総額は3億5000万ドルに達した。これは前年の4.1倍にあたる。 さらに実際の被害額は、これをはるかに超えるとも指摘されている。ハッキングされたり情報を盗まれたりすることは、自社のセキュリティーの甘さを示すに等しく、また犯罪集団に金銭を渡してしまった負い目から、その被害を伏せることが多いためである。
歴史 創設 ダークサイドが最初に注目されたのは2020年8月のことだった。セキュリティ情報サイトのKrebs on Securityによると、ロシア語のハッキングフォーラムで活動が確認され、2020年11月には「exploit.in」や「XSS」でRaaSの宣伝をしていたという、ハッカー集団としては新興勢力である。
「DarkSide」は、ロシアの別のハッカー集団であるREvilが使用している ランサムウェアに類似している。REvilのコードは公開されておらず、これはダークサイドがREvilから派生したグループDavid E. Sanger & Nicole Perlroth, F.B.I. Identifies Group Behind Pipeline Hack, New York Times (May 10, 2021).、またはREvilとパートナー関係であることを示唆しているCharlie Osborne, Researchers track down five affiliates of DarkSide ransomware service, ZDNet (May 12, 2021).。
ダークサイドは通常のブラウザではアクセスができない、いわゆるダークウェブ上に自分たちのサイトを置き、これまでのハッキングや盗み出した情報などの「業績」を並べている。 このほか、ヘルプや広報、被害者向けの電話窓口、ほかにプレスセンターも有しており、一見するとオンラインサービスのプロバイダーのようにも見える。さらにジャーナリストや複合化会社と提携を試みていることから、カスペルスキーはこのグループを「企業」と表現した。ダークサイドは、ログイン情報を盗み取る「アクセス・ブローカー」とも取引しているとされている。
狙われた企業 以前は無作為にウイルスをばらまくサイバー攻撃が多かったが、近年は事前に企業を絞り、時間をかけて攻撃する「標的型攻撃」が主流となっている。
ダークサイドが標的とするのは主に大企業で、NASDAQなどに上場している企業を狙うと主張している。2020年8月から2021年4月までの間に、ダークサイドがハッキングしたと公開していた企業数は99社で、IT、金融、製造などが多い。日本企業も2社が情報を公開されている。
ダークサイドは2020年12月から2021年5月まで、アメリカの石油・ガスのインフラを攻撃したNicolás Rivero, Hacking collective DarkSide are state-sanctioned pirates, Quartz (May 10, 2021).。2021年3月にはITマネージドサービスプロバイダーのを攻撃し、復元費用は2,000万ドルを超えた。また、カナダのDiscount Car and Truck Rentals社や、日本の東芝の子会社である東芝テックも攻撃を受けたBenoit Overstraeten & Makiko Yamazaki, Toshiba unit hacked by DarkSide, conglomerate to undergo strategic review, Reuters (May 14, 2021).。ドイツのブレンタークからは身代金の搾取に成功したMichael Schwirtz & Nicole Perlroth, DarkSide, Blamed for Gas Pipeline Attack, Says It Is Shutting Down, New York Times (May 14, 2021).。
被害額 2021年1月にはアメリカのある大企業を脅迫して3000万ドル（約30億円）を要求し、交渉の過程で減額には応じたものの、多額の身代金を手に入れたという。
要求する身代金は、20万ドルから200万ドルの範囲が多いDavid E. Sanger & Nicole Perlroth, F.B.I. Identifies Group Behind Pipeline Hack, New York Times (May 10, 2021).。 また事前に攻撃対象の財務状況を調査するケースが増えている。あらかじめ調べておくことで、被害者が支払える可能性のある最高額を設定できるためである。
さらに盗んだ情報の中からサイバー保険に関する情報を見つけ出し、被害者が受け取る保険金の額を知ることで交渉を有利に進め減額を拒む。
暗号通貨セキュリティ企業のEllipticは、2021年3月にダークサイドが開設したビットコインウォレットのトランザクション履歴を分析し、少なくとも47の被害企業から9,000万ドル以上（約100億円）を受け取っていたことを突き止めた。身代金の平均支払い額は190万ドルだという。
カスペルスキーのグローバル調査分析チームによると、近年の主流であるデータデータを暴露する手法により、標的から身代金を獲得する確率を向上させ、企業にとっては信用の失墜などに繋がることもあり、身代金の支払いに応じてしまうことも多いという。
受け取った金は異なるウォレットに送金されているのがブロックチェーン上で確認されており、身代金の分配がされていたと思われる。「DarkSide」開発チームが17％にあたる1,550万ドル（約16.9億円）を受け取り、残額の7,470万ドル（約81.4億円）は様々なパートナーに支払われたという。
復旧の信用度 これまではランサムウェアの被害に遭った企業が身代金を支払ったとしても、データを元に戻せる（暗号化されたデータの復号）という保証はなかったため、支払いに応じる企業も少なかった。 電子メールセキュリティ対策を手掛けるMimecastによると、攻撃された企業のうち身代金の要求に応じたのは52％。しかしデータを復元できたのはその内の66％にとどまり、残る34％は身代金を支払ってもデータを戻すことはできなかった。 英セキュリティ企業Sophosが世界30カ国の中堅組織を対象に実施した別の調査によれば、身代金を支払ってデータを全て取り戻すことができたケースはわずか8％だった。
身代金を支払うメリットはそれほど低かった。だがダークサイドはそれを逆手に取り“信用”を売りにした。「我々に身代金を支払えば暗号解読ツールを受け取れることを知っている。だから身代金の支払いに応じる確率が非常に高く、交渉にかかる時間も極めて短い」とブログで主張している。
Ellipticによると、ダークサイドの被害に遭った企業の半数が身代金を支払っていたことが判明している。
コロニアル・パイプラインへの攻撃
コロニアル・パイプラインは、テキサス州からニュージャージー州までの5,500マイル（約8,850km）を結ぶパイプラインを運営し、扱う生成燃料は1日当たり1億ガロン（約3億8000万リットル）。東海岸の燃料消費の45％を賄っているアメリカ最大手の企業の一つである。
2021年5月6日、コロニアル・パイプラインのサーバーから約100ギガバイトのデータが盗まれる。
5月7日午前5時半頃、悪意のあるソフトウェアによってサイバー攻撃を受けデータを暗号化されていることが発覚。 すでに何台かのコンピューターが暗号化されたため、感染が拡大しないようにするため一部の情報システムをオフラインにしたDustin Volz, U.S. Blames Criminal Group in Colonial Pipeline Hack, Wall Street Journal (May 10, 2021).David E. Sanger & Nicole Perlroth, F.B.I. Identifies Group Behind Pipeline Hack, New York Times (May 10, 2021). Ellen Nakashima, Yeganeh Torbati & Will Englund, Ransomware attack leads to shutdown of major U.S. pipeline system, Washington Post (May 8, 2021).。これにより操業も停止。アメリカのライフラインに対する史上最悪のサイバー攻撃となった。
5月8日、同社が事件を公表。しかし「現在進行中の今回の攻撃の性質と範囲について調査を開始しました」という短い声明を発表するに留めた。ロイターによると、セキュリティ会社ファイア・アイのインシデント部門が対応しており、その調査チームの報告によるとダークサイドの関与が疑われた。
犯行の手口 セキュリティー会社ディジタル・シャドウズ創業者のジェイムズ・チャペルは、今回の攻撃は新型コロナウイルスによるパンデミックの影響で起きたと指摘している。リモートワークが推奨され、自宅から作業しパイプラインの制御装置を操作するエンジニアが増え、パソコンを遠隔操作できるTeamViewerやMicrosoft Remote Desktopなどを利用する社員をターゲットにし、それに関係するログイン情報を買い取ったのだろうと考えている。
2020年から同グループの動きを追っていたというセキュリティ企業のIntel 471も、Citrixやリモートデスクトッププロトコル(RDP)といったソフトウェアの脆弱性を悪用して狙った企業に侵入したり、IDやパスワードなどの認証情報を闇フォーラムで調達したり、ブルートフォース攻撃や詐欺メールなどの手口を通じて入手したのではないかと分析している。
トレンドマイクロによると、既存の脆弱性を悪用しており、Microsoft Exchange Serverの脆弱性を悪用された可能性が高いとしている。
情報セキュリティーに詳しいサウスカロライナ大学のファン教授は、RaaSの背後にいるハッカーは通常、Botと呼ばれるウイルスに感染した多数のコンピューターからなる大規模なネットワークを構築しており、それらを犯罪者に貸し出し、標的となる企業に大規模な攻撃を仕掛けることで「被害を最大化し、身代金を得る可能性を高めている」という。
盗まれた情報 侵入した端末を足掛かりに遠隔操作で別の端末を次々と乗っ取り、サーバーにある重要なデータを暗号化したり、盗み出したりする。 暗号化と同時に、脅迫に利用するためデータを盗むことも多く、コロニアルの場合も約100GBのデータを盗まれていた。ダークサイドは、盗み出したデータを米国内にある中間サーバーに保存していた。
ワシントン・ポストによると、外部のセキュリティ会社は迅速にその状況を把握、情報がどこに送信されたかを突き止め、そのホスティングサーバへ連絡。プロバイダーはFBIに通報し、当該サーバーをネットから切り離したという。このため犯人たちはおそらく盗んだ情報にアクセスできなくなったものと見られている。
セキュリティメディアZero Dayよると、今回の事件で盗まれたデータは、燃料の使用量とそれに基づく請求を行う勘定系であり、実際の燃料輸送を制御する操業系は難を逃れていたとしている。コロニアル・パイプラインが操業停止したのは、請求業務ができなくなったからだと説明している。だが請求システムが感染してしまったことで、燃料の流通状況を追跡して顧客に請求する手段がなくなり、業務停止という決断を下した要因になった可能性があるという。
CNNは、盗まれたデータのうち最も重要なものは、ロシアに転送されるプロセスで経由したアメリカのサーバーに残っている段階で当局により取り押さえられており、身代金を支払う必要も予定もないとしている。
事件の影響 操業が停止したことで南東部ではガソリン不足への懸念が起こり、ガソリンスタンドに長蛇の列ができたり、パニック買いが発生した。エネルギー業界は、国内には十分なガソリン備蓄があるとし、買いだめを控えるよう呼び掛けた。
調査会社ガスバディーによると、ジョージア州アトランタ都市圏では、約60％のガソリンスタンドでガソリンが売り切れとなった。ノースカロライナ州でも65％、ジョージア州とサウスカロライナ州では43％が在庫切れになったという。ガソリン価格も上昇し、米国自動車協会によると、無鉛ガソリンは1ガロン当たり平均3ドル上昇したという。
ソーシャルメディアではハッシュタグ「#GasShortage2021」（#ガソリン不足2021）がトレンド入りした。新型コロナウイルス危機の初期に見られた「トイレットペーパー不足を思い出した」というコメントもあった。
エネルギー省のグランホルム長官は「昨年発生したトイレットペーパーの買い占めと同じ問題が発生しています。ガソリンがなくなるというデマを信用しないでください。アメリカはガソリンをたくさん保有しています。無用な買い占めは控えてください」と国民に冷静になるようお願いした。
コロニアルが操業再開のスケジュールを示していないことから、ニューヨーク原油先物相場とガソリン先物相場も上昇。NYMEXガソリン6月限は一時4.2％高の1ガロン＝2.217ドルを付けた。
5月9日、攻撃手段はランサムウェアだったと報告し、セキュリティの専門家や政府と連携して対応していると述べた。また主要4本のパイプラインはまだ停止中だが、中継地点を結ぶ支線の一部の輸送を再開した。運輸省の自動車運輸安全局(FMCSA)は地域緊急事態宣言を発令。規制を緩和し、パイプライン停止に伴う燃料不足に対応する方針を打ち出した。またバイデン大統領は、パイプラインが回復するまでタンカーによるガソリンとディーゼル輸送の制限緩和を検討するよう指示した
犯行声明 5月10日、ダークサイドは「我々は非政治的であり、地政学には関与していない。我々の目的は金儲けであり、社会に問題を起こさないことだ」と声明を掲載した。コロニアル・パイプラインを標的にしたのは、アフィリエイト利用者だったとし、「今後はわれわれが開発したツールを使用してサイバー攻撃を仕掛けるクライアントが標的とする企業がどんな企業かを事前に確認することにする」と釈明したものの、アメリカの大手メディアは、市民生活に影響の出るライフライン企業を攻撃したことで、「一線を越えた」とダークサイドを非難した。
5月10日、FBI（アメリカ連邦捜査局）はダークサイドによる犯行と断定した。サイバーセキュリティー担当の国家安全保障副補佐官は、政府がコロニアルに対し身代金の支払いに応じるよう助言しているかと質問に対し「これは民間が決定することであり、政権は現時点でいかなる助言も行っていない」と述べた。
同日、FBIとCybersecurity and Infrastructure Security Agencyは、重要インフラの所有者および運営者に対し、ランサムウェアに対する脆弱性を軽減するための措置を講じるよう、共同で警告を発したAlert (AA21-131A): DarkSide Ransomware: Best Practices for Preventing Business Disruption from Ransomware Attacks, Cybersecurity and Infrastructure Security Agency/Federal Bureau of Investigation (May 11, 2021, last revised May 12, 2021).。
錯綜する情報と政治対立 5月11日、在米ロシア大使館は声明を発表し、事件を巡りロシアを非難するマスコミ報道に反発。「我々は一部のジャーナリストの根拠のないでっち上げを断固として否定し、ロシアが仮想空間で『悪意ある』活動を行っていないと改めて表明する」と述べ、ロシア政府が関与しているとの憶測を否定した。
5月12日午後5時頃、コロニアルが操業を再開した。石油市場アナリストは、起点のテキサスの精製所では搬出されない石油が貯まっており、「11日までに何とかならないと、大変なことになる」と警告していた。復旧の見通しが立ったことで、一時売られていた原油先物も買い戻された。
ワシントン・ポストは12日に関係者の話として、コロニアルが身代金要求に応じず、バックアップシステムの復元によるパイプラインの再稼働をめざしていると報じていたが、翌5月13日、Bloombergは関係者の話として、コロニアルが攻撃後からわずか数時間後には身代金を支払っていたと報じた。BBCは、身代金の支払いは11日とするなど情報が錯綜している。
ホワイトハウスのサキ報道官は、身代金を払ったという情報は正式発表されたものでないためこのケースのコメントではないとしつつも「政府とFBIは、企業が身代金を支払うのは利益にならないという立場をとっている」と述べた。
同日、バイデン大統領はサイバーセキュリティ対策の強化を目指す大統領令に署名した。ダークサイドはロシア語のフォーラムを利用しており、今回の犯行声明においても英語のスペル間違いなどが確認されたことから、ロシア系のグループとされている。バイデンは「今回の攻撃はロシア政府の指示によるものではないが、ロシア政府には本件に対処する責任がある」という声明を発表した。
5月14日、ダークサイドは東芝グループのフランスの拠点から、製品や人事などの情報など740ギガバイト以上の機密情報を盗んだと宣言。身代金を要求した。