✅ レポートタイトル：
脅威アクタープロファイリング：「hize_hacker」（a.k.a. @ULOSE）

✅ レポートの要約

📌 hize_hackerとはどのような脅威アクターか

• • 2024年6月28日、ダークウェブのハッキングフォーラムLeakbaseにIburaham.muhameというニックネームで登録し、フォーラム活動を開始した。
  • ◦ Leakbaseフォーラム以外にも、Darknet Army、BHF、Leakzone、Darkforumsフォーラムなど、その他のDDWフォーラムでも活動していた履歴が確認されている。
    • ◦ 多数のユーザーネームを使用し、フォーラムごとに複数のアカウントを作成して、それぞれのアカウントで短期間活動する特徴がある。
  • ◦ データの流出および販売のためのTelegramチャネルを運営し、当該チャネルに窃取したデータのサンプルをアップロードした。
  • ◦ ULOSEというDLS（Dedicated leak site）を運営し、従来各ハッキングフォーラムで共有されていた被害企業の窃取データを収集して流出させている。

📌 hize_hackerの活動パターン

• • 主に韓国を対象に攻撃を行い、英語および韓国語を使用して窃取データの販売投稿をアップロードしている。
• • 韓国企業および機関のうち、病院（2025-07-26）、不動産試験教育機関（2025-08-03）、航空機部品製造企業（2025-09-08）、法律事務所（2025-09-22）、貸付業（2026-03-10）、貸付業（2026-03-25）、製薬企業（2026-04-06）が対象となった。
• • 投稿およびコメントの作成時間など活動時間を分析した結果、UTC+9基準で18時から翌日0時まで主に活動しており、特に22時の活動頻度が最も高いことが示された。
  • ◦ 主な攻撃対象および活動時間から見て、韓国で活動している可能性が高い。

📌 hize_hackerの攻撃パターン

• • hize_hackerは、韓国企業から大規模にデータを窃取・流出させることで利益を得ており、独自のDLSであるULOSEを基盤にデータ販売活動を継続するデータ恐喝型脅威アクターと推定される。
  • ◦ 同一の被害企業の流出データを類似した時期に掲載し、同一のサンプルを共有していた状況を考慮すると、ランサムウェアグループGunraのアフィリエイトまたは協力関係にあった可能性がある。

✅ 脅威検知の推奨事項と対策方法：

• • hize_hackerユーザーは、主に韓国を対象に攻撃を行い、大量のデータを窃取した後、それを販売して金銭的利益を得ることを主な目的としていると推定される。ULOSEというDLSサイトを直接運営していることが確認されており、これはランサムウェアおよびデータ恐喝（Extortion）グループで一般的に観察される活動パターンと類似した特徴を示している。
  • ◦ 今後、暗号化ツールを活用した攻撃の実行やRaaS（Ransomware-as-a-Service）の運営などを通じて、組織的な攻撃活動へと発展する可能性があるため、継続的なモニタリングが必要である。
• • 侵入を裏付けるスクリーンショットから、被害企業のPDMおよびDBサーバーに直接アクセスし、データを窃取した形跡が確認されるが、接続過程および使用された攻撃ツールに関する資料がないため、具体的な初期侵入経路と攻撃手法の特定は困難である。
  • ◦ サーバーへのアクセスを最小権限の原則とネットワーク分割によって制限し、侵入検知システムで不審なアクセスをリアルタイムにモニタリングする必要がある。