インドのサイバー当局、AIを使う攻撃者「CRAFTY FALCON」巡り金融事業者に重大度「Critical」の注意喚起
インド電子・情報技術省のコンピューター緊急対応チーム（CERT-In）は11月4日、銀行・金融サービス・保険の事業者に向けて、重大度を「Critical」とする注意喚起を出した。AIの支援を受けて攻撃する「CRAFTY FALCON」の活動を差し迫った継続的な脅威として扱うよう、こうした事業者のすべてに強く勧めた。
今回の注意喚起は、決済や送金のAPIを悪用した不正な送金について10月9日に出した注意喚起を更新したものだ。CERT-Inがノンバンクやフィンテック、暗号資産交換業者などから報告された事案を分析したところ、一連の攻撃は大幅に活発になっていた。
CERT-Inの金融分野の対応チームは、一連の攻撃の主体を「CRAFTY FALCON」と名付けた。同チームによると、CRAFTY FALCONは標的をAIで調べ、高速で動き、被害を受ける事業者自身の決済・送金のAPIを呼び出して攻撃する。
10月9日の注意喚起では、攻撃にAIを使ったツールが用いられた可能性があると指摘していた。CERT-Inは今回の分析で、AIを使う攻撃用セキュリティツールのうち一般に入手できるものが複数、被害を受けた事業者への攻撃に使われていたことを突き止めた。
CERT-Inが挙げたツールには、大規模言語モデル（LLM）を使うツール群や、複数のAIエージェントが自律して侵入テストを進めるシステムなどがある。これらのツールは攻撃の全工程を自律して高速に実行し、標的の反応に応じて送り込むコードを変える。
11月4日の時点でもCERT-Inには攻撃が成功したという報告が届き続けており、以前の非公開の注意喚起を受けて対策も取っていたノンバンクやフィンテックからの報告もある。攻撃者は同じ事業者を意図的に狙い直しており、侵入への対処を終える前に再び攻撃を受けた事業者もある。
事案の分析では、クラウドの管理機能の悪用、インターネットに公開されたテスト環境などを入り口にした本番環境への侵入、公表されたばかりの脆弱性の悪用などが見つかった。CERT-Inは、攻撃者が多数のスクリプトを作ってはすぐに改良していた点が、AIでコードを生成しては手直しを重ねる開発の特徴と一致するとみている。
CERT-Inは推奨する対策として、AIを使う攻撃用フレームワークのうち一般に入手できるものを含め、許可のないセキュリティツールや攻撃ツールを社内の基盤で導入・実行するのを禁じることを挙げた。こうしたツールがダウンロードされていないか、権限の確認を無効にしたまま動くAIのコーディングエージェントがないかを監視することも挙げた。
サーバーなど開発に使わない機器からLLMのAPIへの通信があれば、攻撃用の環境などが仕込まれている兆しとなりうるとして、CERT-InはLLMのAPIの利用状況とキーを監視・管理することも推奨した。侵入テストはすべて、書面で承認を得て範囲と期間を決めてから行うよう方針を定めることも挙げた。
CERT-Inは、休日や週末の人員を増やして24時間の監視を強めることや、テスト環境を本番環境から切り離すことも推奨した。
【関連サイト】CERT-In「Escalation of AI-Driven Attacks on BFSI Entities by Threat Actor “CRAFTY FALCON”」
