ロシアのハッカーがナスダックを奪った方法

翻訳者注： 少し前まで、ニューヨーク証券取引所でのクラッシュが広く議論されていました。一部のオブザーバーは、 匿名または中国のハッカーによる攻撃の結果と呼びました。 このケースは、証券取引所が攻撃を受けている場合に限りません。 今日は、他のアメリカの取引所ナスダックがどのように攻撃の対象になったかについての物語の適応された翻訳を提示します。



2010年10月、連邦捜査局のインターネットトラフィック監視システムがアラームを記録しました。 信号源はナスダック取引所でした。 すべてが、マルウェアが取引所の中央サーバーに静かに侵入できるように見えました。 どうやら、攻撃者は男の子ではなく、別の国の特別なサービスでした。 さらに、ハッカープログラムを徹底的に研究した後、アメリカの専門家は、システムを損傷するためにシステムを攻撃しなければならないと結論付けたのは不安です。



ハッキングはほぼ毎日行われるため、ほとんどすべてが追跡センターのモニターに表示されますが、一般の人々には気付かれません。 中国人、フランス人、イスラエル人、および他の多くのあまり知られていない、または学んだプレイヤーは、いずれにせよ、ハッキングに関与しています。 ミサイル防衛計画、化学式、プラント配管計画、および経済情報を盗みます。 これは本当のスパイ行為であり、軍事攻撃はウイルスプログラムを使用して実行されます。 悪意のあるプログラムの少数のケースのみが記録されており、その中で最も有名なものはStuxnetウイルスです。 大多数の意見では、アメリカ人とイスラエル人の共同プロジェクトであるStuxnetは、2010年にナタンツのイランのウラン濃縮プラントを一時的に無効にしました。 彼は安全装置をオフにし、ユニットの中央にある遠心分離機を制御不能にした。 2年後、イランは比較的開発が容易でありながら急速に普及しているワイパーウイルスを使用して、サウジアラムコのコンピューターシステムの3分の2を損傷しました。 あるアメリカの年配の役人は、特に重要なアメリカのシステムに損害を与えることを目的としたデジタル兵器に一度しか遭遇しなかったと言い、これはナスダックの取引所で起こりました。



10月に受け取った警報は、国家安全保障局の調査への参加を要求し、すでに2011年に、NSAは潜在的な脅威を結論付けました。 ワシントン郊外の11階建てのオフィスビルの会議室で、危機の意思決定チームのメンバーのために秘密のビデオ会議が開催されました。 フォンデュバーとCrossFitジムに加えて、この建物にはNCCICサイバーセキュリティとコミュニケーション統合センターのオフィスもありました。 National Cyber​​security and Communications Integration Center ]。その主なタスクは、ハッカーの攻撃を検出し、米国政府の行動を調整することです。 NSAからのFBIデータと追加情報を調査した後、NCCICの従業員は、状況を上級管理職に報告することにすぐに同意しました。



そこで積極的な調査を開始し、5か月間、サイバー攻撃を撃退する米国の能力をテストし、大統領の直接参加を求めました。 ハッカーの行動を分析するよう圧力をかけられた特別なサービスと法執行機関は、高官に比較的明確な状況を提示することはほとんどできませんでした。 さまざまな政府機関では、数か月にわたる骨の折れる作業の後でも、事件を誰がどのような目的で組織したかについて、まだ意見の相違がありました。 「他の州の代表者が少なくとも1つの証券取引所にアクセスする方法を見つけたと言います。彼らの最終目標が何であるかは完全にはわかりません」と、米国下院情報委員会のマイク・ロジャースは言いました。ミシガン州の共和党代表でもあります。 彼は詳細が厳密に分類されているため、一般的な用語でのみ何が起こったかを議論することに同意しました。 「現在の状況の問題は、起こったことのすべての結果を感じるまで誰もそれを理解できないことです。 そして、誰もそれがそれに来ることを望まないでしょう。」



ブルームバーグビジネスウィークの記者は、数か月間、ナスダック攻撃とその結果について20人の専門家にインタビューしましたが、詳細は報告されていません。 9人が調査に直接関与し、セキュリティの議論に参加しました。 誰も公の声明を発表し始めませんでした。 「Nasdaqへの不正侵入の調査は現在も進行中です」と、FBIのニューヨークオフィスの副ディレクターであるGeorge Venizelos氏は述べています。 「サイバー犯罪のすべてのケースと同様に、現在の状況はやや紛らわしいものであり、このケースの証拠と事実は時間とともに現れます。」



攻撃はうまく撃退されましたが、この事件は、ハッカーにとって銀行、化学プラント、水処理プラント、エネルギーシステムと同様に脆弱な取引所がどれほど脆弱かを示しました。 当局者の一人は、起こったことの結果を経験し、攻撃は彼に思われたように、現在の状況を根本的に変え、コンピューター技術を使用して紛争の新しい時代に備えるために合衆国に真剣な措置を講じさせると述べた。 彼は間違っていました。



NCCIC会議には、米国国防総省、財務、国土安全保障省の専門家、およびNSAとFBIの代表が出席しました。 事前確認の後、インシデント解決チームにハッカーの身元に関する多数の散在データが提供され、数分後、全員が侵入の深刻さとホワイトハウスに通知する必要性に同意しました。



ビデオ会議の参加者は翌日ホワイトハウスで召集され、司法省、米国国務省、中央情報局の代表が参加しました。 参加者は、ホワイトハウスの特別サービス、法務省、ペンタゴンおよびその他の機関の指導者に提出された決定のリストを作成しました。 経営陣は、調査の参加者が答えなければならないいくつかの質問を特定しました。ハッカーは取引プラットフォームにアクセスして、取引プラットフォームを操作したり、作業を中断したりできますか？ 侵略は米国の金融インフラに対するより大きな攻撃の一部でしたか？



調査は、米国のシークレットサービスを率いることにしました。 従業員は、事件の数ヶ月前にナスダックを訪問し、サンクトペテルブルクの住民であるアレクサンダー・カリーニンが率いるロシアの犯罪者グループが取引所のサーバーをハッキングし、これらの2つのイベントがその後、接続しました。 しかし、シークレットサービスはスレッドを失い、調査を終了しました。







「政府の誰かが、彼がすべてを理解しているとあなたに言ったら...彼らの名前を教えてください」



FBIがNasdaqに侵入を通知すると、交換自体がシステム障害を検出し、攻撃の報告を余儀なくされたことが判明しました。 プライバシーの問題について話し合った後、ナスダックは米国の情報機関職員がシステムに入ることを許可しました。 調査チームは、ニューヨークのOne Liberty Plazaビルのナスダック本部とニュージャージー州カーテレットの交換データセンターを訪問し、そこでintelligence報または軍人の痕跡をいくつか発見しました。



ハッカーは2つのゼロデイ脆弱性の組み合わせを使用しました。 ゼロデイ ]。 ゼロデイ脆弱性は、システムに以前は検出されなかった「穴」です。開発者はそれを修正するために「0日」を持っていました。これにより、ハッカーは遠くからコンピューターを簡単に制御できます。 これは非常に価値のある製品で、地下市場で数万ドルが提供されます。 ゼロデイ脆弱性を1つ使用することは、経験豊富なハッカーを示しています。 公務員のための複数。 Stuxnetは4つを使用します。これは、コードの作成者が最新のインテリジェンスメソッドを使用し、異なるシステムが相互にどのように相互作用するかを正確に知っていたことを示しています。



ナスダックへの攻撃を組織した人は誰でも、同様の準備作業を行い、同様のツールを使用しました。 Nasdaqリポジトリで検出されたマルウェアに特に注意が払われました。 NSAはすでに同様のプログラムに直面しています。それは、ロシアの主要なintelligence報機関であるロシア連邦の連邦保安局によって開発されました。 また、このプログラムは単なるスパイウェアではありませんでした。情報を盗むだけでなく、コンピューターネットワークを完全に破壊することもできました。 NSAによると、交換全体を無効にすることができます。



今年の1月初旬、NSAはその結果を特別サービスのリーダーに発表しました。エリートのロシアのハッカーが証券取引システムに侵入し、その下に「デジタル爆弾」を置きました。 せいぜい、ハッカーは、痕跡に気づいてNasdaqシステムを完全に破壊することが発見された場合に備えて、自己破壊メカニズムとともにマルウェアをインストールしました。 最悪の場合、システムを破壊することが彼らの唯一の意図でした。 米国大統領バラク・オバマは調査の結果を知らされました。



調査の後半で、一部のアメリカの当局者は、NSAが情報を広めたときにそれをやり過ぎたのではないかと考えました。 悪意のあるソフトウェアは、ある所有者から別の所有者に渡されることがよくあります。販売、盗難、他人との共有です。 技術的な観点から見ると、悪意のあるコードは破壊的なプログラムとそれほど変わらないかもしれません。 当時、NSAのディレクターであるキースアレクサンダーとそのスタッフは、民間企業をこの新しい攻撃から保護するためにNSAが持つべき権限について当局と積極的に議論していました。 このような突然の侵入は、おそらく状況を悪化させるだけでしょう。



調査がNasdaqの本部とそのデータセンターにまで及んだという事実を考えると、捜査官は一流のハッカーの行動の写真を再現する必要がありました。 調査チームは、Nasdaqのような開発された組織がどれほど脆弱であるかに驚いていました。

「正直なところ、金融セクターはより一貫性があると想定していました」と、ホワイトハウスの元サイバーセキュリティの専門家であるクリストファー・ファイナンは述べました。 「これらの種類の企業が完璧だと言っているわけではありませんが、他の企業と比較して、彼らは最高の企業です」

捜査を支援するために取引所に雇われた法執行機関と民間請負業者によると、調査員がナスダックの捜索中に見つけたものは単に彼らに衝撃を与えた。 彼らはコンピューター犯罪者や中国のサイバースパイなど、いくつかの独立したグループの痕跡を発見しました。 それらのいくつかは数年前に交換システムに入ったかもしれません。 ハッカーの行動を追跡するのに役立つ、取引所のサーバーで発生する毎日のアクティビティのマスターレコードは見つかりませんでした。 さらに、調査員は、One Liberty Plazaの所有者が運営するWebサイトにBlackholeとして知られるロシアのハッカーウイルスが含まれていることを発見しました。請求書やその他の費用を支払うためにページを訪れたテナントのコンピューターに感染しました。



Nasdaqリポジトリのいわゆる「ダーティスワンプ」のため、ロシアのウイルスプログラムの痕跡の検索は遅すぎました。 インテリジェンス関係者は、ハッカーが気づかれる少なくとも3か月前に初めてNasdaqコンピューターに侵入したことを発見しましたが、これは単なる仮定にすぎません。 いくつかの兆候によって、証拠が不十分であるにもかかわらず、大量のデータがキャッシュから盗まれたと判断でき、どのデータが盗まれたかを特定することは困難です。 「誰かがあなたの家に侵入した場合、銀行とは異なり、あなたの家にはカメラもモーションセンサーもないので、強盗がどこにいて、何を盗んだのかを見つけることは非常に困難です」とSiegeのCEO、Jason Cyversenは説明しますニューハンプシャー州マンチェスターのセキュリティ会社、テクノロジーズ。 「サイバーセキュリティの観点から見ると、ほとんどの企業は銀行よりも自宅である可能性が高いです。」



Intelligence報機関は、攻撃を顧客、規制当局、および一般に報告する権利をナスダックに残しました。 交換は短いメッセージで2月5日にこれを行い、数週間後、声明でこれを記録しました。 ナスダックシステムに穴が開いたのは、交換に適した時期とはほど遠いものでした。 彼女は110億ドルでニューヨーク証券取引所（ICE）を買収しそうでした。



ナスダックは電子メールで、攻撃がどれほど深刻かについて言及していませんでした。 取引所は、「次の検査」でハッカープログラムが検出され、230を超える企業が財務情報を取締役と共有するディレクターズデスクシステムに侵入できなかったと述べました。 「情報が盗まれたという情報はない」と報告書は述べた。 この記事のインタビューで、ナスダックのスポークスマン、ジョセフ・クリスティナトは次のように述べています。「この問題に関する私たちの専門家は、米国政府と緊密に協力して、ディレクターズデスクシステムからのデータ漏洩の証拠は見つからないと結論付けました。 さらに重要なことは、2010年に、取引所はサイバーセキュリティに対する態度を劇的に変えました。 その結果、今日、攻撃を検出し、システム、テクノロジー、市場参加者の完全性を保護する機会がはるかに増えています。」







マリオ・タマによる写真/ゲッティイメージズ

「ある公務員の代表者が少なくとも1つの証券取引所にアクセスする方法を見つけたと言います。最終的な目標が何であるかは完全にはわかりません」

一方、サイバー攻撃のオーガナイザーの検索を取り巻くイベントは、予想外の方向を取りました。 爆弾やミサイルとは異なり、ハッカープログラムは再利用できます。 それらをシステムに残した場合、他のハッカーはそれらを適切に処理し、リバースエンジニアリングし、次の犠牲者を金庫に移動して、他の誰かのピストルを使用する殺人者のように追跡します。 政府および軍用コンピューターへの他の侵入に関するデータを調査する過程で、調査者はロシアのマルウェアが経験豊富な中国のサイバースパイによって使用されていることを発見しました。 このハッカーは、ロシア人から悪意のあるコードを受け取るか、別のシステムからそれを盗み、それを使用して自分の身元を隠す可能性があります。 一部のナスダックの資料もこの理論を支持しています。 バラック・オバマは、調査がアジアの方向に方向を変えたと再び知らされました。



調査員がコースを変更した後、調査に関与したグループの数が増加しました。 財務省の重要なインフラストラクチャ保護および反トラストコンプライアンスポリシー部は、10の主要な米国の銀行と証券取引所のリストを作成しました。 すべての企業が調査に協力することに同意したわけではありません。 同意したものでは、調査員はコンピューターのログファイルを調べ、サーバーの動作を確認し、これらの企業のセキュリティサービスはプロセスの高速化に役立ちました。



Intelligence報員は、より大きな攻撃の証拠をあまり見つけませんでした。 しかし、彼らは、いくつかの最も重要な米国の金融機関で発生した体系的なセキュリティ侵害を発見しました。 リストにある機関の多くは、ナスダックが受けたのと同じ攻撃を受けたことが判明しました。 ハッカーがこれを行うための努力をしなかったため、彼らはわずかな恐怖で逃げました。



アジアとの関係の発見は、望ましい結果をもたらしませんでした。 捜査官は再びロシアを主な容疑者として注目したが、犯罪の動機を特定できなかった。 ハッカーは、数か月間Nasdaqネットワークに自由に参加できました。 さらに、交換自体はシステムの他のコンポーネントから分離されています。 アクセスするのは簡単ではありませんが、ハッカーがこれを試みたという兆候はありません。



ホワイトハウスはCIAに答えを求めた。 電子的手段のみでインテリジェンスを収集するNSAとは異なり、CIAは「すべてのソース」から情報を受け取り、実際の人々の意見に焦点を合わせます。 CIAは、ロシアのintelligence報機関と組織犯罪との間のリンクを探し始めました。 FSBの誰かは、とりわけ、非営利企業を管理したり、ハッカーのグループにウイルスプログラムを転送したりできます。 マルウェアのさらなる調査により、マルウェアの機能は以前考えられていたよりも被害が少ないことが示されました。 たとえば、ワイパーウイルスのようにコンピューターを無効にすることはできませんでしたが、特定の機能要素を制御してネットワーク障害を引き起こす可能性がありました。



ハッカーの動機が金だった場合、ディレクターのデスクデスクのウェブベースのコミュニケーションシステムは、当初から入っていて、幅広い可能性を提供しました。 何千人もの企業の取締役がそれを使用して、会社に関する機密情報を共有しています。 誰かがこのデータを手に入れた場合、彼は即座に億万長者になることができます。



ワシントンでは、FBIのスタッフと貿易当局がアルゴリズムを使用して数千件の取引を分析し、Director's Deskからの情報が疑わしい取引につながるかどうかを判断しました。 仕事の結果に関する報告書を提出した2人の従業員によると、証拠は見つかりませんでした。



セキュリティ担当者は、違法侵入についての彼らの仮定を改めて修正しました。 CIAによって得られた結果に基づいて、ホワイトハウスの当局者は、慎重に計画されたサイバー犯罪であると結論付けました。 ある専門家によると、これの可能性は約70％だけでしたが、この仮定に代わるものはありませんでした。 NSAは技術援助サービスの特別な監督の下で作動しました。 技術支援のリクエスト、RTA ]、そして彼女にはあまり時間がありませんでした。 2人のintelligence報当局者によると、オバマ大統領が3度目の事件について通知を受けた後、intelligence報機関は停止され、3月末までに調査はFBIに完全に転送されました。



局当局者は、ハッカーがナスダック独自の技術を使用して13台のサーバーを引き付けたようだと指摘しました。 これらの技術は非常に複雑であるため、取引所は、技術に対する特別な権利を世界中の他の証券取引所に提供することを目的とした追加のビジネスを行っています。



それにもかかわらず、攻撃の時間は現実に対応していませんでした。 2008年、ドミトリーメドベージェフはウラジミールプーチンを大統領に交代させ、プーチンは首相のやや影響力のない役職に就いた。 西洋との関係は非常に友好的であり、グローバルな金融システムに関連した攻撃性の問題はありませんでした。



ロシアは他の理由でナスダックに興味があるかもしれません。 2011年1月、メドベージェフはスイスのダボスで開催された国際経済フォーラムに参加し、モスクワを国際金融センターに変えるという壮大なアイデアを発表しました。 1か月後、2つの不十分な効果的な証券取引所、MICEXとRTSが、所有者が見たとおり、単一の世界クラスの取引プラットフォームへの合併を発表しました。 このプラットフォームは、新しいグローバル金融資本の冠のダイヤモンドになるでしょう。



ロシアのトップマネージャーによると、同国の国家安全保障と交換の成功は密接に関連しています。 今日、ほとんどのロシア企業は主要な西側取引所に参加しており、米国やヨーロッパからの深刻な経済的影響にさらされています。 2012年、プーチン大統領が大統領に復帰したとき、彼はロシア企業に新しい証券取引所への独占参入を余儀なくさせた。 同時に、彼はモスクワの金融センターの建設に数十億ルーブルを投資しました。そこにはヨーロッパで最も高いビルの建設が含まれていました。



2011年半ばまでに、調査官は、ロシア人がナスダックの仕事を弱体化させようとしていないと結論付けました。 彼らは、そのコピーを作成したり、その技術を交換に直接導入したり、研究のモデルとして採用したいと考えていました。 この目的のために、彼らはサイバースパイのエリートチームを送りました。



Nasdaqから盗まれたデータと転送された場所を正確に把握していないと、ログファイルやその他の必要な専門家データが不足しているため、再作成することはできません。 しかし、調査に直接関与したある調査員は、このバージョンが最も説得力があると述べました。 また、収束しないモザイクの他の部分がありました。 ハッカーは、悪意のあるコードの破壊的な効果を武器または他の何かとして使用することを計画していましたか？ 邪魔されていなかったら、他に何ができたでしょうか？ ワシントンのロシア大使館のYevgeny Khorishko会長は、ナスダック事件についてコメントするよう求められ、「これはばかげているので、コメントするものは何もない」と述べた。



昨年1月、NSAによる数百万人のアメリカ市民に関する情報収集に関するスキャンダルの際に、バラクオバマはスピーチを行いました。 その中で、彼は、NSAの「証券取引所を狙ったハッカープログラムを傍受する」能力を、デジタルメッセージを傍受する機関の能力を批判しなかった理由の1つとして暗黙のうちに言及しました。



ただし、一部の米国当局者にとっては、事件の結果ははるかに恐ろしいものになるでしょう。 米国の国家安全保障機関は現実世界を支配しているかもしれませんが、彼らは仮想空間での戦いにそれほどよく備えていません。 サイバー戦争のルールはまだ完全に確立されておらず、悪意のあるコードの導入は、実際のインフラストラクチャの破壊と同じくらい破壊的な武器になる可能性があります。 そして、この武器を追跡するのは非常に困難です。ナスダックの最初の侵攻からほぼ4年後、米国のintelligence報当局はまだ何が起こったかを把握しようとしています。 米軍は優れた抑止力ですが、使用方法がわからないと機能しません。



「政府の誰かが、攻撃的なサイバー攻撃への対応方法を知っていると言ったら、名前を教えてください。 そのような人々はそこにいるべきではない」とintelligence報委員会の委員長は言った。 「問題は、私たちの行動に関係なく、政府が苦しむことではないということです。米国の民間セクターネットワークの85％が苦しむことです。 そして今、彼らは困難な時期を迎えています。」

---

失敗は、米国の取引所だけでなく、モスクワ取引所などの他の国の取引所でも定期的に発生します。 エラーはしばしば取引の停止につながりませんが、たとえば、取引データの誤った表示やポジションを保持するための保証セキュリティの誤った計算につながります（エラーは取引の早期終了につながることさえあります）



起こりうる損害を最小限に抑えるために、証券会社はさまざまな顧客保護システムを開発しています。 このような保護がITinvest MatriXトレーディングシステムにどのように実装されているかについては、次の投稿のいずれかで説明します（詳細についてはリンクをご覧ください ）。