インドのCERT-In、AI支援ハッカーがセキュリティ修正後も暗号資産取引所を標的にし続けていると警告
重要ポイント
- •CERT-Inは脅威アクターを「CRAFTY FALCON」と特定しており、水曜日のアドバイザリーでは、暗号資産取引所がこのグループの標的企業として直接列挙されたのは初めてである。
- •一部のノンバンク貸付業者やフィンテック企業は、以前の限定アドバイザリーを受けてシステムの修復措置を講じていたにもかかわらず、侵入に成功されていた。
- •攻撃者は暗号資産ウォレットの鍵を盗みウォレットから資金を流出させたが、CERT-Inは被害を受けた取引所の名前も損失額も明らかにしていない。
- •このグループはAIツールを活用して攻撃スクリプトを迅速に作成・改善し、アプリケーションコードをリバースエンジニアリングしてカスタムのエクスプロイトを構築し、被害者自身の決済・送金APIを呼び出して資金を移動させている。
- •CERT-Inはリスクのある企業に対し、24時間体制でのシステム監視や、週末・祝日など攻撃者が検知遅延を狙って攻撃のタイミングを合わせやすい期間の人員増強やアラートしきい値の引き下げを助言した。
インドの国家サイバーセキュリティ機関は、暗号資産取引所を含む金融企業に対し、AIを活用したハッキンググループの侵入が継続していると警告している。一部では、早期のアドバイザリーを受けてシステムをすでに修復していた企業が攻撃を受けるケースもあった。
電子情報技術省の管轄下にあるインドコンピュータ緊急対応チーム(CERT-In)は、水曜日に発表した更新版アドバイザリーにおいて、脅威アクターを「CRAFTY FALCON」と特定した。この新しいアドバイザリーは、同機関が10月に最初に発出した警告に基づくもので、暗号資産取引所を標的企業として直接列挙したのは今回が初めてとなる。また、このグループがAIツールを使用して攻撃を計画・実行する方法についても詳述している。
早期の警告後も被害を受けた企業
CERT-Inは、この攻撃キャンペーンに鈍化の兆候は見られないとしている。「この脅威は現在も活動中であり、継続している」と同機関は述べた。
アドバイザリーによると、CERT-Inの金融セクター対応チームCSIRT-Finには、侵入成功の報告が引き続き寄せられている。一部は、以前に限定アドバイザリー(限られた企業にのみ非公開で配布されたアラート)を受けてシステムの修復措置を講じていたノンバンク貸付業者やフィンテック企業からのものだった。デジタル融資プラットフォーム、決済アグリゲーター、サービスプロバイダーも標的にされている。
同機関によると、攻撃者は暗号資産ウォレットの鍵を盗み、ウォレットから資金を流出させた。暗号資産事業にとって、これはウォレットの鍵自体が資金を管理する認証情報であるため、侵害が直接資産の損失につながることを意味する。CERT-Inは被害を受けた暗号資産取引所の名前を明らかにしておらず、損失額も開示していない。Cointelegraphは、CoinDCX、CoinSwitch、WazirX、ZebPay、Mudrexを含む複数のインドの暗号資産プラットフォームおよびCERT-Inにコメントを求めた。これらのプラットフォームからの回答、あるいは被害者や損失額を明記した今後のアドバイザリーが、このキャンペーンが暗号資産セクターに与えたコストに関する初の公的な説明となるだろう。
AI支援攻撃の仕組み
CERT-Inは、このグループについて「機械知能を使って標的を調査し、機械の速度で動き、被害者自身の決済および送金APIを呼び出して攻撃を仕掛ける」と述べている。実際には、攻撃者は企業自身の決済システムを利用して資金を移動させる。
侵入は通常、オンラインに公開された脆弱なアプリケーションやテスト環境から始まる。そこから攻撃者は共有されたログイン認証情報やアクセストークンを使用して、稼働中の本番システムへと横展開する。また、悪意のあるファイルを設置するためにクラウドインフラも標的にしている。
AIツールにより、このグループは攻撃スクリプトを迅速に作成・改善できる。さらに、アプリケーションコードのリバースエンジニアリングによって、各標的に合わせたカスタムのエクスプロイトを構築している。場合によっては、大口の送金を行う前に少額のテスト取引を送り、送金が成功するかを確認していた。CERT-Inによると、一部の攻撃はシステムを監視する人員が少ない週末や祝日にタイミングを合わせられており、これが侵入者の検知遅延に役立っていたという。
アドバイザリーでは、AIペネトレーションテストツールであるARTEXも名前が挙げられた。10月、サイバーセキュリティ企業CrowdStrikeは、正体不明の攻撃者がARTEXをClaude Codeなどの他のAIモデルとともに使用し、韓国の金融企業を侵害してデータを盗んだと報告している。
セキュリティ専門家は以前からこの傾向について警告してきた。Solana Foundationの最高情報セキュリティ責任者であるMichael Coates氏はCointelegraphに対し、防御側が最も強力なAIツールにアクセスできる必要があると語った。「入手可能な最良のモデルを確実に防御側の手に委ねる必要があります。攻撃者は十分な能力を持つ何かを手にすることになるのですから」と同氏は述べた。
7月には、TRM Labsの政策責任者Ari Redbord氏が、「攻撃手法は、公開時の単発の監査で対応できる速度を超えて進化している」と述べ、継続的なセキュリティレビューを呼びかけた。
機関、24時間体制の監視を呼びかけ
CERT-Inは、リスクにさらされている企業に対し、「このキャンペーンを活発化・拡大中のものとして扱う」よう指示した。同機関は企業に対し、24時間体制でシステムを監視するよう促すとともに、祝日、週末、その他監視体制が手薄になる期間には人員を増やし、アラートのしきい値を引き下げるよう助言している。この人員体制に関するガイダンスは、このグループが「機械の速度で動き」、監視が最も手薄な時期に攻撃のタイミングを合わせているというCERT-Inの調査結果と直接対応している。
この記事は元々CoinCentralに掲載されたものです。
