サイバー攻撃者はなぜギャンブル業界を狙うのか？ お金だけじゃないその理由：Cybersecurity Dive

サイバー攻撃者は近年、ギャンブル業界を標的にしたランサムウェア攻撃を仕掛ける傾向にある。一体なぜこの業界が狙われているのか。理由は金銭だけではないようだ。

[Matt Kapko，Cybersecurity Dive]

　米国連邦調査局（FBI）は2023年11月7日（現地時間、以下同）、民間企業に対する警告の中で「ランサムウェアグループは、ベンダーが管理するリモートアクセスシステムの脆弱（ぜいじゃく）性を悪用して、カジノのサーバに侵入し、サイバー攻撃を仕掛けている」と発表した（注1）。

　2023年9月に発生した、カジノおよびホテル業界の大手企業であるMGM ResortsとCaesars Entertainmentに対するランサムウェア攻撃（注2）（注3）、同年10月に発生したシンガポールのMarina Bay Sandsに対する攻撃を受けて（注4）、今回の警告が発表された。これらのランサムウェア攻撃によって個人情報が流出し、カジノやホテルの運営に支障をきたした。

お金だけじゃない　サイバー攻撃者はなぜギャンブル業界を狙うのか？

　Gartnerのバイスプレジデント兼アナリストであるカテル・ティエレマン氏によると、カジノには資金があり、攻撃されても世論の反発が少ない傾向にあるため、サイバー攻撃者にとって格好の標的となっている。また、侵入するポイントも多い。

　American Gaming Associationの2023年10月の調査によると、ギャンブル業界は米国に年間で約3290億ドルの経済効果をもたらしている（注5）。

　ティエレマン氏は「ギャンブル業界は不正が起きないよう厳しく規制されており、顧客やディーラー、サービスを提供する従業員、資金の動きを監視する技術であふれている。これらのシステムのそれぞれが侵入のポイントとなる可能性がある」と話す。

　FBIは、ランサムウェアの攻撃者がサードパーティーのゲームベンダーを侵害する傾向を観察しており、その結果、2022年から小規模なカジノなどに対する攻撃が頻発している。

　FBIによるとサイバー攻撃者はフィッシング攻撃やソーシャルエンジニアリングキャンペーン、サードパーティーベンダーのリモートアクセスツールにおける脆弱性を悪用して、カジノのサーバを暗号化し、機密データを侵害し、被害に遭った組織を恐喝している。

　「Luna Moth」という名でも知られる「Silent Ransom Group」、および「Scattered Spider」や「Octo Tempest」という名でも知られる「Oktapus」などの複数のグループが（注6）、これらの攻撃に関与している。FBIは、Silent Ransom Groupによる複数回のフィッシングやデータ侵害、恐喝に言及した。同グループは、2022年の中頃から活動を開始し、最近では2023年6月にも活動していた。

FBIの警告は今回のサイバー攻撃固有の対策とは言えない

　FBIは組織が取るべき対策の手順を共有した。これには、サードパーティーベンダーに関するポリシーとセキュリティレビューの整備、アイデンティティーとアクセス管理の規格への準拠、ネットワークの監視、脆弱性および設定の管理などが含まれている。

　「しかしこれらの対策はどの業界においても一般的なものであり、サードパーティーのゲームベンダーが使うリモートアクセスの技術に固有の懸念については何も述べていない」（ティエレマン氏）

　American Hospital Associationによる警告の公表は、FBIが、サードパーティー製であるか正規品であるかを問わず、システムツールを介したランサムウェアの活動について広く警告していることを示した。

　「多くの場合、攻撃者は特定の業界を専門とするサードパーティーベンダーについて独自の知識を持ち、フィッシングの際に信用を得られる業界用語を熟知している。そのため、それらの業界が標的にされるのだ」とティエレマン氏は述べ、以下のように続けた。

　「この通達は、これらの業界に特有の要素を強調する大きな機会を逃している。通達はサイバーセキュリティのベストプラクティスを再認識させるものではあるが、特定の業界にとらわれない一般的なアドバイスと、被害のきっかけとなった業界特有のインシデントとの間には一致しない部分がある」（ティエレマン氏）

（注1）Ransomware Actors Continue to Gain Access throughThird Parties and Legitimate System Tools（FBI）
（注2）MGM Resorts’ Las Vegas area operations to take $100M hit from cyberattack（Cybersecurity Dive）
（注3）Caesars Entertainment faces class action lawsuits following rewards database hack（Cybersecurity Dive）
（注4）Cyberattack hits Singapore’s Marina Bay Sands hotel and casino（Cybersecurity Dive）
（注5）Gaming Industry Delivers $329 Billion Annual Economic Impact to U.S. Economy, New AGA Study Finds（AMERICAN GAMING ASSOCIATION）
（注6）High-profile summer attacks linked to same aggressive ransomware group（Cybersecurity Dive）

原文へのリンク