2024年10月1日、米国財務省外国資産管理室（ 米国財務省外国資産管理局（OFAC） ：OFAC ）、英国外務・英連邦・開発省（FCDO）、およびオーストラリア外務貿易省（DFAT）は、マルウェア「Dridex」の開発および配布に関与したロシアを拠点とするサイバー犯罪組織「Evil Corp 」のメンバーを同時に指定した。 また、米国司法省は、つながり において、Evil Corp のメンバー1名に対し、米国内の被害者を標的としたBitPaymerランサムウェア の使用を理由に起訴状を公表した。
Evil Corp この組織は、そのサイバー犯罪の規模の大きさ――マルウェアによってコンピュータに感染させ、ログイン認証情報を盗み出し、世界中の数百の銀行やその他の金融機関から1億ドル以上の資金が盗まれた――だけでなく、ロシアのサイバー犯罪界隈に深く根ざしている点でも際立っている。
以下では、Evil Corpの制裁措置や、サイバー犯罪グループ Lockbit およびロシア政府との関係などについて詳しく見ていきます。
世界的な混乱Evil Corp
2024年10月の共同指定は、2019年のOFAC による指定を補完するものであり、その指定対象には、Evil Corpの創設者であるマクシム・ヤクベッツ氏や十数名のメンバー、仲介者 、および同グループに関連する企業が含まれており、その中には、Dridexを担当するEvil Corp の管理責任者であるイゴール・トゥラシェフ氏や、Evil Corp の財務担当仲介者 であるデニス・グセフ氏などが含まれている。
英国では、外務・開発省（FCDO）が、マクシム・ヤクベッツ氏をはじめ、2019年に米国財務省（OFAC ）によって指定された「Evil Corp 」の関係者7名を含む計16名を指定した。 2019年に制裁対象となった人物の一人は、アレクサンドル・ヴィクトロヴィチ・リジェンコフであり、彼はヤクベッツと緊密に連携して、Evil Corpの最も多作なランサムウェア の亜種の一部を開発した。特に注目すべきは、リジェンコフがLockbit の関連人物としても特定されている点である。FCDOの取り組みに加え、英国の国家犯罪対策庁（NCA）は、同グループに関する詳細な調査報告書『Evil Corp: Behind the Screens』を公表した。
オーストラリアでは、外務貿易省（DFAT）がヤクベッツ氏、トゥラシェフ氏、リジェンコフ氏に対して制裁措置を講じた。
最後に、欧州の数々の法執行機関 機関が連携して行動を起こし、Lockbit の関係者らを無力化する した。フランス当局の要請に基づき、Lockbit の開発者とみられる人物が逮捕された。また、英国当局は、LockBit の関連組織の活動を支援したとして2名を逮捕した。さらに、スペインの捜査当局は、Lockbitのランサムウェア インフラの一部であるサーバー9台を押収し、Lockbit が利用していた防弾ホスティング サービスの管理者を逮捕した。
Evil Corp…とのつながりLockbit
以前にも取り上げた通り、Evil CorpおよびLockbitの活動には重複が見られますオンチェーン 。具体的には、Evil Corp に関連する「ランサムウェア 」と改称された亜種と、Lockbit に属する暗号資産クラスターが、中央集権型取引所において同じ入金 アドレス を利用しており、これは以下の Chainalysis Reactor グラフに示されている通りです。
このオンチェーン の重複は、Evil Corpがブランド刷新の一環として、また制裁対象組織との関連性を最小限に抑える取り組みの一環としてLockbit を利用していることを論じた、2022年のマンディアント（Mandiant）の報告書の内容と一致している。
組織内部および治安機関との強固な家族的絆
Evil Corpの事業運営における重要な特徴の一つは、同社の活動に多くの同一の家族構成員が関与しているように見える点である。例えば、米国財務省は2019年の最初の指定において、マクシム・ヤクベッツがロシア連邦保安庁（FSB）に勤務していたこと、また2018年時点でFSBからロシアの機密情報を扱うための許可を取得する手続きを進めていたことを指摘している。 また、ヤクベツの義父であり、元FSBスペツナズ（特殊部隊）将校であるエドゥアルド・ベンデルスキーも、2024年10月1日に米国財務省によって指定対象となった。
指定内容によると、ベンデルスキー氏は「Evil Corp」とロシア政府との関係構築において重要な役割を果たし、自身の地位や人脈を活用して、「Evil Corp 」とロシアの諜報当局者との間の活動を調整していた。 さらに、マクシムの父ヴィクトルは2024年10月1日に米国財務省、英国外務・開発省（FCDO）、オーストラリア外務貿易省（DFAT）によって指定対象とされ、また、ミドルネーム（ヴィクトロヴィチ）と出生地（ウクライナのポロンノエ）が一致することから、おそらくマクシムの兄弟であるアルテム・ヤクベッツも、Evil Corp の中核メンバーであり、同グループに物質的支援を提供していたとして、2019年に指定対象となった。
こうしたつながりに加え、OFAC 、FCDO、およびDFATによって指定されたセルゲイ・リジェンコフは、ミドルネームが同じであることから、ヤクベツの右腕であるアレクサンドル・リジェンコフと関係がある可能性が高い。
ロシアを拠点とするサイバー犯罪者を摘発するための国際的な連携
上記の措置は、ロシアを拠点とするサイバー犯罪者を無力化する するための、協調的かつ多国間の取り組みの一環である。これらの犯罪者の多くは、暗号資産 を利用して違法活動を行っている。このほか、最近の事例としては、ドイツ連邦刑事警察局（BKA）による47のロシア系ノーKYC 取引所の閉鎖や、OFACによるロシアの取引所 Cryptex 、Fraud Shop 、仲介者 、UAPSの指定が挙げられる。これらは、オランダおよび米国法執行機関 によるこれらのサービスの閉鎖と連携して行われたものである。
NCAのサイバーインテリジェンス責任者であるウィリアム・ライン氏は次のように述べている。「『Evil Corp 』は、サイバー犯罪者がその手口を絶えず進化させていることを痛感させる事例である。Evil Corp がランサムウェア の利用に移行するにつれ、暗号資産は彼らのビジネスモデルにおいて重要な要素となった。しかし、LockBit グループから入手したデータを活用し、NCAはEvil Corp のメンバーを含む関連組織を追跡・特定するために、様々なツールや能力を駆使することができた。これには、ブロックチェーン が本来備えている透明性と追跡可能性の活用も含まれていた。10月1日に行われたこの作戦は、英国および同盟国に危害を加える脅威アクターを阻止する上で、パートナーシップと協力がいかに強力であるかを示している。」
これらの指定、および米国、英国、オーストラリア各地で行われた関連する逮捕や押収は、さらなる活動阻止や起訴につながる可能性が高い。当方では、これらのサイバー犯罪者および関連団体に関する最新情報が入り次第、引き続き提供していく。
本ウェブサイトには、Chainalysis, Inc. およびその関連会社（以下、総称して「Chainalysis」）の管理下にない第三者のサイトへのリンクが含まれています。当該情報へのアクセスは、Chainalysis が当該サイトまたはその運営者との提携、支持、承認、または推奨を行っていることを意味するものではなく、Chainalysis は、当該サイトで提供される製品、サービス、その他のコンテンツについて一切の責任を負いません。
本資料は情報提供のみを目的としており、法律、税務、財務、または投資に関する助言を提供するものではありません。受領者は、こうした決定を行う前に、各自のアドバイザーに相談してください。Chainalysis は、受領者が本資料を利用したことに起因する、つながり におけるいかなる決定、その他の作為または不作為についても、一切の責任を負いません。
Chainalysis 当社は、本報告書に記載された情報の正確性、完全性、適時性、適合性、または有効性を保証するものではなく、当該資料のいかなる部分における誤り、欠落、またはその他の不正確さに起因するいかなる請求についても責任を負いません。
