トレンドマイクロは3月26日、セクストーションの事例について調査を進める中で得た最新の攻撃手法についての知見を、3月24日に公開したリサーチペーパー「Sextortion in the Far East(英語情報)」で報告した。

「セクストーション」は、性的行為という意味の「SEX」と、恐喝という意味の「EXTORTION」を合わせた造語であり、インターネット上で「出会った」異性に対して性的行為の写真や動画を撮らせ、その公開を材料に脅迫を行うサイバー犯罪を指す。米FBIがこれに関して2010年に注意喚起を出しており、日本でも2014年4月に逮捕事例が報道されている。

これまでに確認されてきたセクストーションでは、その要求は性的なものだったが、同社のセキュリティリサーチャーは、東アジアのサイバー犯罪者集団が、このセクストーションの手法を発展させ、性的な行為のかわりに金銭を要求し、ユーザにさらに甚大な被害を与えていることを確認した。

新しい手法では、攻撃者はチャットや連絡のために必要なアプリであるとだまして被害者のスマートフォンにAndroidの不正アプリをインストールさせる。インストールされたアプリはユーザのコンタクトリストを収集し、攻撃者に送信させ、攻撃者は被害者の家族や友人の連絡先を入手し、直接連絡が取ることができることを示すことで、さらなる脅迫の材料としているという。

この種の脅迫で大金を獲得したいサイバー犯罪者にとって、このような金銭的利益は、より魅力的な動機となっているようだ。

「セクストーション」を行う手法の新旧比較

今回は東アジア地域を集中的に調査したが、カナダ、英国、米国といった国々でもセクストーションの事例が確認、報告されている。同社は、さまざまな文化や国から集まったサイバー犯罪者が、一般のインターネット利用者の持つ弱点を狙って、ソーシャルエンジニアリングの手法を向上させたと言えるだろうとしている。