勇敢なアクションで詐欺に対抗: Storm-1152 を打ち破る

2023 年 2 月、Microsoft 脅威インテリジェンス センター (MSTIC) の Matthew Mesa (Senior Security Researcher) は、Microsoft Outlook アカウントが大規模なフィッシング キャンペーンに使用されるパターンが増えていることを確認しました。Mesa は、メール キャンペーンを分析し、不審なアクティビティを探す役割を担っています。不正なアカウントの使用が増加しているのを見て、彼は自問しました。"これらのアカウントはすべて互いに関連しているのではないか" と。

彼はすぐに新しい脅威アクター プロファイル Storm-1152 を作成し、その活動を追跡し始め、Microsoft の ID チームに調査結果を報告しました。Shinesa Cambric (Principal Product Manager、Microsoft Anti-Abuse and Fraud Defense Team) もこの悪質な活動を追跡しており、Microsoft のコンシューマー向けサービスのサインアップ プロセスを保護するために使用される HIP チャレンジを破ろうとする自動アカウント (ボット) の増加に気づいていました。​

"私のチームは、コンシューマー エクスペリエンスとエンタープライズ エクスペリエンスの両方に注力しており、毎日何十億ものアカウントを詐欺や悪用から守っています。" と Cambric は説明します。"私たちの役割は、脅威アクターの手法を理解し、攻撃を回避してシステムへのアクセスを防ぐことです。私たちは常に予防について考えています。どうすれば悪質なアクターを正面から阻止できるか、ということです。"

彼女が注目したのは、この活動に関連する不正行為のレベルが高まっていたことです。複数の関係者 (Microsoft のパートナーや Microsoft のサプライ チェーンの一部) により、ボットによって作成された Microsoft アカウントによる被害が報告されたため、Cambric は行動を開始しました。

サイバーセキュリティ防御とボット管理のプロバイダーである Arkose Labs と連携して、Cambric のチームはグループの不正アカウントを特定して無効にすることに取り組み、Microsoft の MSTIC と Arkose Cyber Threat Intelligence Research ユニット (ACTIR) の脅威インテリジェンスの同僚と作業の詳細を共有しました。

Patrice Boffa 氏 (Chief Customer Officer、Arkose Labs) は、"当初、私たちの役割は、悪意のあるアカウント作成から Microsoft を守ることでした。" と説明します。"しかし、Storm-1152 がグループとして特定されると、私たちは脅威インテリジェンスの収集も開始しました。"

詐欺活動が 2023 年 3 月に沸点に達したとき、Cambric と Mesa は Microsoft のデジタル犯罪ユニット (DCU) に、もっと何かできることはないかと相談しました。

Microsoft の対外的な執行部門である DCU は通常、最も深刻で執拗なアクターのみを追求します。刑事告発や民事訴訟、あるいはその両方が主な手段となる、ビジネスを行う上でのコストを引き上げることに重点を置いています。

Sean Farrell (Lead Counsel for the Cybercrime Enforcement team、Microsoft DCU)、Jason Lyons (Principal Manager of Investigations、DCU Cybercrime Enforcement Team、Microsoft)、そして Maurice Mason (Senior Cyber Investigator) が、さらに調査を進めるために集結しました。彼らは Microsoft の社外弁護士と協力して法的戦略を立案し、Microsoft 社内の複数のチームと Arkose Labs が収集していた脅威インテリジェンスから分析情報を得て、民事訴訟を起こすために必要な証拠をまとめました。

"DCU が関与するまでに、既に多くの作業が行われていました。" と Lyons は振り返ります。"ID チームと Arkose Labs は、アカウントの特定と無効化において既に重要な作業を行っており、MSTIC は不正アカウントを特定のレベルのインフラストラクチャに関連付けることができたため、これは DCU にとって有利な訴訟になると考えました。"

追及に値する訴訟の形成に寄与する要因には、民事訴訟で使用できる法律があること、管轄権があること、企業が個人名を公表する意思があることなどが挙げられます。 

Lyons は、これらの要素を検討することをトリアージ プロセスに例えて、DCU が事実と情報を精査し、すべてが妥当なケースであるかどうかを判断したと述べました。"私たちは、自分たちの作業に基づいて、行動を起こすための時間とエネルギーを費やすべきかどうかを問います。" と彼は語ります。"そこに投入するリソースに見合うだけのインパクトがあるのか?" この場合の答えはイエスでした。

Mason は、Storm-1152 のサービスとしてのサイバー犯罪の活動のアトリビューションを担当することになりました。"私の役割は、Storm-1152 がどのようにしてこれらの不正アカウントを他の脅威アクター グループに販売したかを追跡し、Storm-1152 の背後にいる個人を特定することでした。" と Mason は説明します。

ソーシャル メディアのページや支払い識別子を詳細に調査した結果、Microsoft と Arkose Labs は Storm-1152 の背後にいる Duong Dinh Tu、Linh Van Nguyễn (別名 Nguyễn Van Linh)、Tai Van Nguyen を特定することができました。

調査結果によると、これらの人物は不正な Web サイトの運営やコードの作成、ビデオ チュートリアルによる製品の使用方法の詳細なステップバイステップの説明の公開、不正なサービスを利用するユーザーを支援するチャット サービスの提供などを行っていました。さらに、同グループの技術インフラストラクチャへの接続が行われ、チームは米国に拠点を置くホストに特定することができました。

Farrell は、この訴訟を前進させる決定事項について、次のように語っています。"インフラストラクチャと犯罪サービスを立ち上げたアクターを特定したチームの素晴らしい仕事のおかげです。

私たちが DCU でこのような行動を取る理由のひとつは、このようなサイバー犯罪者の影響を抑止することです。訴訟を起こしたり、逮捕や起訴につながる犯罪者を照会したりすることで、これを実現しています。米国での訴訟で犯罪者を特定し、公にすることができれば、非常に強いメッセージを送ることになると思います。"​​

Farrell は、Storm-1152 の調査と混乱がもたらした結果を振り返って、この訴訟が重要なのは、Microsoft や影響を受けた他の企業へのインパクトだけが理由ではなく、Microsoft がサービスとしてのサイバー犯罪のエコシステム全体の一部となっている、こうした運用のインパクトを拡大しようと取り組んでいるからだと指摘します。