Crypto.com情報漏洩事件：Scattered Spiderによるフィッシング攻撃の実態と対策

2025年9月、暗号資産取引所Crypto.comが過去にサイバー攻撃による情報漏洩被害を受けていたことが明らかになりました。この事件は、現在企業が直面するサイバー攻撃の深刻さと、従業員を標的とした巧妙な手口の危険性を浮き彫りにしています。

Scattered Spiderによるフィッシング攻撃の実態

今回の攻撃を実行したのは、悪名高いサイバー犯罪グループ「Scattered Spider」の構成員ノア・アーバンとその協力者でした。彼らは2023年3月以前にCrypto.comの従業員を標的とした巧妙なフィッシング攻撃を仕掛け、従業員アカウントへの不正アクセスに成功しています。

この手口は現在、企業を標的とするサイバー攻撃の中で最も多く見られるパターンの一つです。フォレンジック分析の現場でも、従業員の認証情報を狙ったフィッシング攻撃による被害は後を絶ちません。

攻撃者は以下のような流れで犯行を実行したと考えられます：

幸いにも、同社によると「顧客資産に関する影響はなかった」とのことですが、これは企業のセキュリティ対策が功を奏した結果と言えるでしょう。

この事件から学べることは多くあります。私たちCSIRTのメンバーとして、日々サイバー攻撃の調査に携わる中で感じるのは、どんなに大手の企業でも人的要因によるセキュリティの穴は避けられないということです。

特に中小企業では、以下のようなリスクが考えられます：

実際のフォレンジック調査では、中小企業のケースで「従業員が怪しいメールと気づかずにクリックしてしまった」「パスワードを使い回していた」といった事例を数多く目にします。

まず個人ができる基本的な対策として：

これらの対策に加えて、アンチウイルスソフトの導入も重要です。最新のアンチウイルスソフトは、フィッシングサイトやマルウェアを事前に検知し、被害を未然に防ぐ機能が充実しています。

企業としては、以下の対策が効果的です：

また、リモートワークが増える中で、VPN の利用も重要な対策の一つです。従業員が外部からアクセスする際の通信を暗号化し、セキュリティを向上させることができます。

特にWebサイトを運営している企業では、Webサイト脆弱性診断サービスの定期的な実施が欠かせません。攻撃者は常に新しい脆弱性を探しており、定期的な診断により潜在的なリスクを早期発見することが可能です。

私が担当したある中小企業のケースでは、従業員のフィッシング被害から始まり、最終的に顧客データベースへの不正アクセスが発生しました。幸い早期発見により被害は最小限に抑えられましたが、その企業では以下の課題が明らかになりました：

今回のCrypto.com事件は、どんなに大手企業でもフィッシング攻撃の脅威から完全に逃れることは難しいことを示しています。しかし、適切な対策を講じることで被害を最小限に抑えることは可能です。

個人レベルではアンチウイルスソフトやVPN の活用、企業レベルではWebサイト脆弱性診断サービスの実施など、多層防御の考え方で包括的なセキュリティ対策を実装することが重要です。

サイバー攻撃の手口は日々巧妙化しており、今日安全でも明日は分からないというのが現実です。だからこそ、継続的なセキュリティ対策の見直しと強化が不可欠なのです。