Security Affairsは6月28日、「LockBit 3.0 introduces important novelties, including a bug bounty programSecurity Affairs」において、LockBitランサムウェアを使用するサイバー犯罪グループが「バグ報奨金プログラム」を開始したと伝えた。

LockBitを扱っているサイバー犯罪グループがバグ報酬金プログラムやZcash支払いの対応、新たな恐喝戦術などの重要のノベルティを導入したLockBit 3.0をリリースしたという。

  • LockBit 3.0 introduces important novelties、including a bug bounty programSecurity Affairs

    LockBit 3.0 introduces important novelties, including a bug bounty programSecurity Affairs

LockBitは、ランサムウェア・アズ・ア・サービス(RaaS Ransomware-as-a-Service)として展開されているマルウェア。先日登場したばかりのLockBit 3.0にランサムウェアとして初めて、バグ報奨金プログラムが導入されたことがわかった。サイバーセキュリティ専門家にマルウェアのバグを発見してもらい、改善するよう依頼したはじめてのサイバー犯罪者グループとなる。

LockBit 3.0のバグ報奨金プログラムには1,000ドルから100万ドルまでさまざまな報酬があることが判明している。また、LockBitの運用を改善するためのアイデアにも報酬が出るとされている。さらに、匿名性を守るためにMoneroとBitcoinと共にZcashによる支払いや攻撃中に被害者から盗まれたデータを脅威アクタが購入できる恐喝モデルも導入されたとしている。

LockBitなどのランサムウェアを用いたサイバー攻撃の標的になったとしても被害を最小限を抑えられるよう、バックアップを適切に取るなど対策を講じておくことが推奨される。さまざまな戦術および戦略を使って企業システムへの侵入を試みるLockBitに対し、身代金の支払いには応じないことやリスクを低減する取り組みを行っておくことが望まれる。