サイバー犯罪の産業化と分業

# サイバー犯罪の産業化と分業 ## 定義サイバー犯罪の産業化と分業とは、2003〜2005年頃にロシア・ウクライナを中心に地下市場(underground market)が出現したことを転換点として、サイバー犯罪が個人・小集団による「家内工業(cottage industry)」的な犯行から、専門職ごとに分業化された産業構造へと移行した現象を指す。それ以前は同一人物がクレジットカード番号を盗み、偽造カードを作り、店で使うという一連の作業をすべて担っていたが、地下市場の登場により、ボットネット運用者(botnet herders)・マルウェア開発者(malware devs)・スパム送信業者(spam senders)・大量アカウント侵害業者・標的型攻撃の請負業者(hack-for-hire, 標的1件あたり約750ドル)・現金化業者(cashout gangs)・ランサムウェア運用者へと役割が分立した。Ross Anderson はこれを18世紀後半の製造業における産業革命になぞらえ、少人数(数千人規模)の生態系が数億〜数十億ドル規模の被害を社会に及ぼす非対称な構造を強調する。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 2 Who Is the Opponent?]] §2.3, §2.3.1) この分業は技術面にも表れる。ボットネットは Storm(P2P型)、Conficker(ドメイン生成アルゴリズムで防御側の乗っ取りを回避)、Mirai(IoT機器の出荷時デフォルトパスワードを悪用)と進化し、防御側とのいたちごっこの中で階層化・断片化(footsoldier bot を多数の小規模ボットネットに分割し、防御側による一括潜入を困難にする)が進んだ。現金化の経路も、麻薬使用者による物理的な運び屋から、架空の海外企業の「代理人」を騙る詐欺求人、ラトビアのロシア系銀行、Liberty Reserve、ビットコインへと、規制当局の摘発に応じて絶えず更新されてきた。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 2 Who Is the Opponent?]] §2.3.1.1, §2.3.1.6) ## 横断的知見 - **第21章は第2章が予告した「技術的詳細への回帰」を果たし、マルウェア産業化の時期を独立に再確認する**: 第2章 §2.3.1 は「地下市場の出現(2003〜2005年頃)」を犯罪の分業化の起点として提示するが、時期特定の根拠は詳述していなかった。第21章 §21.3.3 はマルウェアという技術面に限定した観察として「2004〜2006年頃を境に、愛好家による悪ふざけから地下市場・犯罪フォーラムに支えられた組織化産業へ転換した」と独立に述べ、マルウェア開発者が感染機の売買で報酬を得るようになったことを具体的な転換点として挙げる。二つの章は「分業構造全体(第2章)」と「マルウェア開発という一分業機能(第21章)」という異なる粒度で同じ2000年代半ばの転換を裏付けており、第2章単独では未解決だった年代特定の根拠が、第21章の技術面の記述によってある程度補強される。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 2 Who Is the Opponent?]] ch.2 §2.3.1, [[@2020__Wiley__Security Engineering 3e - Chapter 21 Network Attack and Defence]] ch.21 §21.3.3) - **ボットネットの技術進化史(Storm→Necurs→Mirai)は、第2章が描く「防御側とのいたちごっこによる階層化・断片化」という一般命題の具体的な系譜を与える**: 第2章はボットネットが Storm(P2P型)→Conficker(ドメイン生成アルゴリズム)→Mirai(IoTデフォルトパスワード)と進化し、footsoldier bot の断片化が進んだと述べるが、個々のボットネットの規模や摘発の詳細には立ち入らない。第21章 §21.3.3 は Storm が単一障害点を避けるP2Pアーキテクチャで command-and-control サーバの摘発を無効化したこと、2020年3月にMicrosoftが900万台規模で8年成長したNecursを摘発したこと、Mirai以後1000種類超の亜種が派生したことを具体的な事例として補う。これにより第2章の抽象的な「いたちごっこ」の記述に、実際の摘発規模・期間という定量的な厚みが加わる。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 2 Who Is the Opponent?]] ch.2 §2.3.1, [[@2020__Wiley__Security Engineering 3e - Chapter 21 Network Attack and Defence]] ch.21 §21.3.3) - **アンチウイルス検出率の経年低下は、産業化された犯罪の「防御側の非対称な負担」という第2章の主張を定量化する**: 第2章はサイバー犯罪の非対称性(少人数の生態系が数億〜数十億ドル規模の被害を及ぼす)を強調するが、防御側の技術がどう劣化していくかには触れない。第21章 §21.3.5 は、アンチウイルスソフトの検出率が2000年代初頭のほぼ100%から2010年に約3分の1、2020年には「事後の感染発覚が前提」まで低下したと述べ、マルウェア開発者が研究・テスト部門を持つ「企業のように」振る舞うようになったことがこの劣化の原因だとする。これは第2章の「産業化」というテーゼを、防御側の技術指標の推移という形で裏付ける。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 2 Who Is the Opponent?]] ch.2 §2.3, [[@2020__Wiley__Security Engineering 3e - Chapter 21 Network Attack and Defence]] ch.21 §21.3.5) ## 未解決の問い - 本章は「地下市場の出現」を2003〜2005年という比較的狭い期間に置くが、この年代特定の根拠(具体的にどの市場・どの技術変化が転換点か)は本章内では詳述されていない。第21章 §21.3.3 は独立に「2004〜2006年頃」というほぼ同じ時期をマルウェア産業化の転換点として挙げており、二つの記述はおおむね一致するものの、具体的にどの地下市場・どの事件が引き金だったかは両章とも明示していない。 - ボットネットの「断片化(footsoldier を小規模ボットネットに分割し、防御側の一括潜入を防ぐ)」という防御回避戦略は、いつ・どの主体が最初に採用したのか。Conficker の乱数化ドメイン生成との時系列的な関係は本章では明示されていない。第21章はStormのP2Pアーキテクチャ(単一障害点の除去)を先行事例として挙げるが、footsoldier断片化そのものとの関係は未接続。 - 現金化の経路が規制の摘発のたびに更新される「いたちごっこ」の構造は、[[ソーシャルエンジニアリングとフィッシング]] が指摘するフィッシング対策の「顧客教育のいたちごっこ」と同型に見える。両者に共通する防御側の設計原則(教育・啓発ではなく構造的な障壁を設ける)が本書の他章でどう論じられるかは未確認。 ## 関連 - 章: [[@2020__Wiley__Security Engineering 3e - Chapter 2 Who Is the Opponent?]] / [[@2020__Wiley__Security Engineering 3e - Chapter 21 Network Attack and Defence]](マルウェア産業化の技術的詳細・ボットネット系譜・アンチウイルス検出率低下) - 概念: [[敵対者の類型論]] — この分業構造が属する「犯罪者」類型の上位概念 / [[サービス妨害攻撃とネットワークプロトコルの悪用]](DDoS-for-hireという分業の需要側) ## 出典 - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 2, §2.3–§2.3.7. - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 21, §21.3.3, §21.3.5.