19歳の天才ハッカーが100社以上を侵害した手口 — Scattered Spider逮捕事件のリアル

Scattered Spider（スキャッタード・スパイダー）は10代〜20代の若者が中心のハッカーグループで、面白いのがほとんどマルウェアを使っていないんだよ。主な武器は「電話」と「話術」なんだ。

これが立派なサイバー攻撃なんだよね。たとえばMGMリゾーツを侵害したとき、彼らはLinkedInで従業員を調べてITヘルプデスクに電話し、「パスワードを忘れました」と言っただけなんだ。それだけで1億ドル以上の被害が出たんだよ。

さらにSIMスワッピングという手口も組み合わせるんだ。携帯キャリアのサポートに電話して「スマホを無くした」と言い、被害者の電話番号を自分のSIMカードに移してしまう。そうするとSMSで届く認証コードも全部攻撃者のスマホに届くようになるんだよ。

そう。MFAの「SMSで届くコード」はSIMスワッピングに弱いんだ。Scattered SpiderはこういうMFAの「人間的な弱点」を徹底的についてきたんだよ。だから今はSMSよりも認証アプリや物理セキュリティキーを使うのが推奨されているんだ。

MGMリゾーツ、シーザーズ・エンターテインメント（身代金150億円を支払ったと言われている）、Coinbase、通信会社など100社以上だよ。Microsoftは彼らを「Octo Tempest（オクト・テンペスト）」と名付けて、最も危険なサイバー犯罪グループの一つとして追跡していたんだ。

Peter Stokesという19歳の若者で、フィンランドで拘束されてアメリカに身柄が引き渡されたんだ。メンバーは特定の国籍ではなく英語圏の複数国にまたがっていて、英語を流暢に話せることでヘルプデスク詐欺がしやすかったと言われているよ。

まずSMSの二要素認証より認証アプリ（Google AuthenticatorやMicrosoft Authenticator）に切り替えること。そしてIT部門のヘルプデスク対応に「電話やチャットでのパスワードリセット時に厳密な本人確認を行う」ルールを設けることが大事だよ。

まさに。Scattered Spiderの事件が示したのは「最強のファイアウォールも、電話に正直に答えてしまう人間の前では無力」ということなんだ。セキュリティは技術と人間教育のセット、これが基本だよ。