Research Analysis

196,003件のBlack Basta流出ログを、AI探索と人の原文照合で分析した

大量ログの検索・翻訳・仮説更新をAIに任せ、公開する主張は人が原文へ戻って確認する。脅威インテリジェンス分析で用いた分担と、そこから得た防御上の示唆を記録します。

Analysis Pipeline

AIを検索者にし、人を根拠の確認者にした

01 / Index

全文を検索可能な状態へ置く

196,003件のMatrixログをOpenSearchへ投入し、メッセージ、チャネル、時刻を横断して再検索できる基盤を用意しました。
02 / Explore

モデルが検索語と仮説を更新する

AIはMCP経由で検索・集計を実行し、結果からロシア語の関連語、次に掘るチャネル、確認すべき会話を選び直しました。固定キーワードだけでは切れる文脈を、反復探索でつなぎます。
03 / Reconstruct

単発メッセージを会話へ戻す

候補メッセージをチャネルIDとタイムスタンプで前後へ広げ、翻訳、分類、先行研究との比較に使える会話単位へ復元しました。
04 / Verify

主張を原文へ戻して確認する

公開する観察は、AIの要約だけで確定せず、人がOpenSearch上の引用原文と前後関係を照合しました。AIは候補発見と一次トリアージ、人は事実確認と記述責任を担います。

Findings

Finding 01

先行研究が主に扱ったITサポート詐称に加え、暗号化後に交渉へ応じない被害企業の代表番号へ電話し、経営層への取り次ぎを求める運用がログに残っていました。

Finding 02

発信者、マネージャー、通話結果の記録、録音、品質管理、報酬という分業が見えました。攻撃の一工程が、通常の外注コールセンターに似た管理方法で運営されていました。

上記は公開流出ログの分析に基づく観察です。組織全体の活動、全期間の網羅、個々の発言の真正性を独立したデジタルフォレンジックで証明したものではありません。

Defensive Implications

Detect

短時間に同一利用者へ大量メールが届いた場合、その後のIT詐称電話や外部Teams連絡までを同じ攻撃シナリオとして監視します。

Constrain

AnyDesk等のRMM、Quick Assist、外部テナントからのTeams連絡を、業務上必要な対象へ限定します。電話で依頼された操作をそのまま許可しない構成にします。

Verify

ヘルプデスクからの異例な依頼は、社内ポータルのチケットや既知の電話番号へ戻って確認します。受付、役員秘書、委託先にも同じ本人確認とエスカレーションを適用します。

Control Boundary

Sources & Next Step

生ログの引用要約、先行研究との比較、より詳しい防御策はnoteの原文に掲載しています。Black Basta全般の防御情報はCISAの共同アドバイザリも参照してください。