公開鍵 ポッドキャスト

「オペレーション・クロノス：LockBit ランサムウェア への潜入」：ポッドキャスト

2024年8月6日 | Chainalysis チーム

『公開鍵 』ポッドキャスト の第122話が公開されました。世界最大のランサムウェア グループを摘発するには、一体どのような過程が必要なのか、気になったことはありませんか？今回のエピソードでは、 フィル・ララット （Chainalysis 調査部長）と ウィリアム・ライン （英国国家犯罪対策庁（NCA）サイバーインテリジェンス部長）にお話を伺います。お二人は、英国の法執行機関 が国際的なパートナーと協力して、最も活発なランサムウェア エコシステムであるLockBit に潜入し、最終的に閉鎖に至った経緯や、摘発後の状況について語ってくれます。 

今すぐ以下で聴いたり、登録したりできます Spotify、 Apple、または Audible。エピソード122の完全なプレビューについては、引き続きお読みください。

公開鍵 第122話：英国が、世界最大の「ランサムウェア 」グループ「LockBit 」を摘発した経緯

世界最大のランサムウェア グループを摘発するには、一体どのような過程を経るのか、気になったことはありませんか？さて、今回のエピソードでは イアン・アンドリュース （Chainalysis 最高マーケティング責任者）が、 フィル・ララット （Chainalysis 調査部長）および ウィリアム・ライン （サイバーインテリジェンス責任者、 英国国家犯罪対策庁（NCA）のサイバーインテリジェンス部長）と対談し、彼らが、英国[email protected]が国際的なパートナーと連携して、最も悪質なの3名が、英国法執行機関 が国際的なパートナーと連携し、最も活発なランサムウェア エコシステムであるLockBit に潜入し、最終的にその運営を停止させた経緯について解説します。

3人は、「LockBit 」や、主要な「ランサムウェア-as-a-service」の脅威について議論し、 「オペレーション・クロノス」について詳細に解説しています。これは、LockBitのシステムを侵害し、最終的にその運営を停止に追い込んだ洗練された摘発作戦でした

フィルとウィリアムは、暗号資産 の追跡の複雑さ、国際的な法執行機関 協力、そしてランサムウェア のような被害者を保護し、サイバー犯罪を阻止するために用いられた革新的な戦術について解説します。

本エピソードは、これまでで最も重要な暗号資産 ランサムウェア 捜査の一つと、それがripple サイバー犯罪のエコシステム全体に及ぼした影響について、興味深い内部情報を提供する数少ないエピソードの一つです。

今回のエピソードの名言

「ランサムウェア は……法執行機関 にとってそれほど優先度が高くなかったサイバー犯罪問題の一つから、比較的短期間のうちに、国家安全保障上の問題、ひいては英国が直面する最も重大なサイバーセキュリティ問題へと、急速に発展していきました。」  – ウィリアム・ライン（国家犯罪対策庁（NCA）サイバーインテリジェンス部長）

エピソードの分単位の解説

2 | ウィリアム・ラインの経歴：アストロフィジックスからNCAでのサイバー犯罪捜査へ

4 | フィル・ララットの紹介と、1億ポンド規模の「ヴィッシング」詐欺の全貌事案 

8 | 「LockBit 」ランサムウェア シンジケートおよび関連団体の規模

14 | 「オペレーション・クロノス」と、法執行機関 がランサムウェア のエコシステム全体にどのように浸透したか 

18 |ブロックチェーン サイバー犯罪との闘いにおけるインテリジェンスの役割ランサムウェア

23 | 「ランサムウェア 」のハッカーに対する政府の秘密作戦
27 | 「LockBit 」の閉鎖がランサムウェア のエコシステムに与えた影響 

30 | 英国の新たな法律により、サイバー犯罪対策に向けた暗号資産 の資産差し押さえ能力が強化される 

『Chainalysis 』が提供する、今回の『公開鍵 』のエピソードと完璧に相性の良いその他のリソースもぜひご覧ください。

本日のエピソードの出演者

本ウェブサイトには、[email protected], Inc. またはその関連会社（以下、総称して「[email protected]」）の管理下にない第三者のサイトへのリンクが含まれている場合があります。Chainalysis, Inc. またはその関連会社（以下、総称して「Chainalysis」）の管理下にはありません。当該情報へのアクセスは、Chainalysis が当該サイトまたはその運営者との提携、支持、承認、または推奨を行っていることを意味するものではなく、Chainalysis は、当該サイトで提供される製品、サービス、その他のコンテンツについて一切の責任を負いません。

当社のポッドキャストは情報提供のみを目的としており、法律、税務、財務、または投資に関するアドバイスを提供するものではありません。リスナーの皆様は、こうした決定を行う前に、各自のアドバイザーに相談してください。『Chainalysis 』は、本コンテンツの利用に関連して、つながり において行われたいかなる決定、その他の作為または不作為についても、一切の責任を負いません。

Chainalysis 当社は、特定のポッドキャスト に掲載されている情報の正確性、完全性、適時性、適合性、または有効性を保証するものではなく、当該資料のいかなる部分における誤り、欠落、またはその他の不正確さに起因するいかなる請求についても責任を負いません。 

特に断りのない限り、特定の製品や団体への言及は、Chainalysis による推奨や推薦を意味するものではありません。ゲストが表明する見解はあくまで個人のものであり、番組への出演は、当該ゲストやその代表する団体に対する推奨を意味するものではありません。Chainalysis の従業員が表明する見解や意見は、当該従業員個人のものであり、必ずしも会社の見解を反映するものではありません。

文字起こし

イアン：

それでは、皆さん、『公開鍵 』の新たなエピソードへようこそ。司会のイアン・アンドリュースです。今日は、特別な番組をお届けできることをとても楽しみにしています。 今回は『ランサムウェア 』について深く掘り下げていきます。ゲストには、英国国家犯罪対策庁（NCA）のサイバーインテリジェンス部門責任者であるウィル・ライン氏と、私の同僚で調査部門ディレクターを務めるフィル・ララット氏をお迎えしています。フィルは英国および欧州大陸全域で、当社の最重要戦略顧客のいくつかを担当しています。お二人とも、番組へようこそ。

ウィル：

お招きいただき、誠にありがとうございました。

フィル：

おはよう、イアン。招待してくれてありがとう。

イアン：

そうですね。この話を数ヶ月も前から予定に入れようとしていたので、今日これについて話せるのが本当に楽しみです。ウィル、ランサムウェア の詳細に入る前に、あなたの経歴はとても興味深いですね。 いつものことですが、今朝も番組が始まる前にちょっとLinkedInであなたのプロフィールを覗いてみたんですが、天体物理学の学位をお持ちで、現在は警察の仕事に携わり、サイバー犯罪を専門にされているんですね。天体物理学から現在の仕事に至るまでの経緯を、簡単に教えていただけますか。

ウィル：

ええ、今の仕事では学位をそれほど活用しているとは言えませんが、大学には通っていました。今ではもう何百万年も前のことのように感じますが、当時は科学者になりたかったんです。 その分野や天体物理学には本当に興味があったんですが、大学に入って間もなく、実は自分には向いていないかもしれないと気づきました。でも、大学生活は本当に楽しかったです。本当に、本当に魅力的な専攻でした。でも、卒業してからは……私はいつも、本当に面白いと思うことをやるという感覚に導かれてきました。私にとって、人生や仕事とは、まさに「日曜日の夕方」のような気分がすべてなんです。

実は、今の仕事に就いたのは、ある意味、偶然の成り行きだったんです。求人を見て、「すごく面白そう」と思って応募しただけで、それが法執行機関 への道となりました。あらかじめ計画していたわけでもなければ、法執行機関 に所属したり、警察官になったりすることなど夢にも思っていませんでしたが、たまたまその道にたどり着いたのです。でも、まあ、運命が私をその道へと導いてくれたのだと思いますし、それ以来、その一瞬一瞬を心から楽しんでいます。本当に多彩で魅力的なキャリアでした。

イアン：

また、英国の法執行機関 の組織体制に詳しくない方々のために、NCA傘下の「国家サイバー犯罪対策ユニット」について、その役割や重点分野を少しお話しいただけますか。さらに、サイバーインテリジェンス部門の責任者として、具体的にどのような業務を担当されているのでしょうか。

ウィル：

つまり、NCA、つまりナショナル・クライム・エージェンシー（National Crime Agency）は、おっしゃる通り、英国における連邦捜査局（法執行機関 ）のような存在です。当機関は全国的な管轄権を持ち、SOC、すなわち重大な組織犯罪の取り締まりを主導しています。当機関の職員数は、大まかに言って5,500人ほどです。 一方、私が勤務している国家サイバー犯罪対策ユニット（National Cyber Crime Unit）は、それに比べると比較的小規模で、約300名しかいません。私たちは、いわゆる「純粋なサイバー犯罪」や「サイバーに依存した犯罪」と呼ばれるものに重点を置いています。つまり、一般的にコンピュータを使わなければ犯せない種類の犯罪です。例えば、ランサムウェアはその典型的な例ですが、他にも多くの事例があります。

そのような定義は、今では少し時代遅れになっていることは承知しています。実際、この種の範囲内で多くの犯罪行為が行われていますが、それは特に国家サイバー犯罪対策部の管轄です。そして、そうですね、私の役割は、当機関のサイバー分野における情報収集業務を統括することであり、それは実に多岐にわたり、非常に興味深い仕事です。

イアン：

すごいですね。これから仕事の内容についてさらに詳しく掘り下げていきます。でも、フィル、あなたのことも忘れてはいけませんね。あなたとウィルは実際に数年間一緒に働いていましたが、Chainalysis には約3年在籍していますね。警察から民間企業への転職について、そしてChainalysis での仕事内容について、少しお話しいただけますか。

フィル：

ええ。ありがとう、イアン。そう、私は約3年半前に国家犯罪対策庁（NCA）を退職しました。それ以前は、英国の法執行機関 で、12年か13年ほど勤務していたと思います。最初はグレーター・マンチェスター警察に所属し、その後、国家犯罪対策庁に移りました。 現在、私は暗号資産 の捜査に10年以上携わっており、2014年の初めからこの業務に従事しています。NCA在籍中は、ウィルと共にサイバー犯罪、特にランサムウェア に関する業務に注力し、それが私の職務の大部分を占めていました。

さて、転職についてですが、そうですね、3年半ほど前に思い切って転職を決意しました。現在の役職は、Chainalysis の調査部長で、国際チームに所属しているため、米国外の案件全般を担当しています。また、世界中の公共部門と民間部門の両方に専門的な支援を提供する調査チームの管理も担当しています。

さて、私が言いたいのは、民間部門における私の役割についてですが、これは、実際に公共部門に所属しているわけではないものの、公共部門に最も近い立場にあると言えるでしょう。ですから、私たちは世界中のさまざまな機関のパートナーと非常に緊密に連携しており、先ほど申し上げたように、暗号資産 の調査に関して、専門的かつ高度な支援を提供しています。

イアン：

すごいですね。さて、手元の資料によると、あなたは2014年から2016年にかけて発生した、1億ポンド規模の「ヴィッシング」詐欺事件（事案 ）の捜査に関わっていたそうですね。正直なところ、「ヴィッシング」という用語は初めて聞きました。その詳細について、詳しく説明していただけますか？ 具体的にはどのような事件だったのでしょうか？

フィル：

ええ。というのも、「ヴィッシング」という言葉は、当時私にとっても初めて聞く言葉だったんです。基本的にはフィッシングと同じですが、電話を使ったものですね。だから、私たちはそれを「ヴィッシング」と呼んでいるんです。

イアン：

ああ。

フィル：

そうそう、2013年、2014年頃、イギリスでは「事案 」という大規模な事件がありました。 要するに、ある組織犯罪グループが、法律事務所や大企業を標的にし、ソーシャルエンジニアリングの手法を用いて、英国のさまざまな銀行の不正防止部門を装って電話をかけてきていたのです。そして、非常に高度でプロフェッショナルな手口により、被害者のオンラインバンキングにログインするために必要な情報を入手することに成功しました。そして、銀行口座へのアクセス権を得ると、資金を横領していたのです。

要するに、彼らがその後行ったのは、英国全土に資金を受け取る「マネーミュール」のネットワークを構築することでした。つまり、彼らは資金を複数の小口に分けて送金したのです。これがいわば「第1層」となります。そして、さらに別の「マネーミュール」の層があり、これが「第2層」となります。 さらに、第3層へと続きます。そして最終的に、この犯罪グループはプロのマネーロンダリング業者と連携し、銀行やATMでこの資金をすべて現金化し、その現金を、当初ヴィッシングを行った犯罪グループに還元します。もちろん、犯罪収益を層分けするためにマネーロンダリング業者に支払った手数料 は差し引かれた上でです。

イアン：

信じられないですね。さて、ウィル、あなたの部署では『ランサムウェア 』に重点を置いているとおっしゃっていましたね。リスナーの皆さんに背景を説明していただけますか？イギリスにおいて、「ランサムウェア 」はどれほど深刻な問題なのでしょうか？

ウィル：

ええ、それは本当に重大なことです。ランサムウェア は、2010年代半ばから後半にかけて現れた脅威の一つであり、当初は背景で進行しているような問題に過ぎませんでしたが、実際には、法執行機関 において私たちにとってそれほど優先度が高くなかったサイバー犯罪の問題の一つから、比較的短期間のうちに、国家安全保障上の問題、ひいては英国が直面する最も重大なサイバーセキュリティ問題へと急速に発展していったのです。

とはいえ、メディアで報じられている最近の攻撃事例をいくつか見れば、ランサムウェア が被害者に与える影響がどれほど深刻であるかがわかるはずです。それは金銭的な側面だけでなく、幅広い被害の観点からも言えることです。英国のシンクタンクであるRUSIは、被害者への金銭的影響にとどまらず、はるかに深遠な被害が及んでいることについて、非常に興味深い調査を行っています。 ですから、英国の多くの人々が直面している最も重大なサイバー犯罪であり、サイバーセキュリティ上の脅威であることを認識し、国家サイバー犯罪対策ユニット（National Cyber Crime Unit）において、これを最優先課題として取り組んでいます。

イアン：

そうですね、ランサムウェア について人々が特に苛立ちを感じている点の一つは、脅威アクターのほとんどがロシアに拠点を置いているようで、法執行機関 の管轄外にあるかのように見えることです。そのため、多くの場合、彼らはまるで罰せられることなく活動しているかのように感じられますよね？彼らは突如として現れ、被害者の技術システムを無力化する し、莫大な金額を需要 します。場合によっては、身代金を支払ったとしても、技術的な問題が必ずしも解決されるとは限りません。 さらに、被害者のデータが漏洩したことによるあらゆる余波に対処しなければならないのは言うまでもありません。

つまり、これは非常に社会に大きな混乱をもたらす犯罪であり、簡単には解決できそうにありませんが、御組織は「オペレーション・クロノス」と呼ばれる取り組みを主導されたと聞いています。これが、本日私たちが話し合う主なテーマとなる、LockBit に対する対策です。そこで、まずは「LockBit 」とは何かという背景から始め、その後、「クロノス」とは何か、そして実際にどのような対策が可能なのかについて掘り下げていければと思います。ウィルさん、まずは「LockBit 」の背景について説明していただけますか？

ウィル：

ええ。そうなんです。LockBitは数年前から存在しており、ランサムウェア-as-a-service（ -as-a-service）を提供するグループとしては、最大級、いや、間違いなく最大規模のグループの一つでした。 つまり、アフィリエイトと呼ばれる人々が参加し、実質的に「ランサムウェア 」スキームに参画して、LockBit がサービスとして提供する機能やプラットフォームを利用できるようにする仕組みでした。その見返りとして、受け取った身代金の一定割合を支払うという仕組みです。要するに、そういうことでした。

でも、確かに「LockBit 」は本当に大規模なグループで、データ漏洩サイトなどから確認できる被害者数の多さを見ても、その活動量は実に膨大でした。そう、活動期間中、世界中で何千人もの被害者が出ていました。

イアン：

フィル、オンチェーン の観点から、LockBit への仮想通貨による支払い、あるいはそこから資金の一部がどこへ流れているかについて、何か補足すべき点や特筆すべきことはありますか？

フィル：

ええ、その通りですね。では、LockBit を見てみると、先ほどウィルが言及した通り、このサイトは2020年か2021年頃から稼働していると思います。非常に成功しているアフィリエイトモデルを採用しています。また、オンチェーン のデータを確認すると、このサイトの運営期間を通じて、LockBit に支払いを行った被害者が2,000人以上いることがわかります。 支払総額は少なくとも1億2,000万ドルに上りますが、実際にはこれよりはるかに多いと我々は見ています。

そして、私が言ったように、オペレーション・クロノス以前から、この事業は実に高い回復力を示してきました。2021年から運営されており、当時の収益 は、ランサムウェア の各バリエーションの中で8番目に高い水準だったと記憶しています。そして、ビジネスモデルとしてますます成功を収めていきました。2023年から2024年初頭にかけては、最終的に生み出していた収益 の額において、2番目に高い水準に達していたと思います。

そして、ウィルが先ほど触れたように、LockBit のモデルがどのように機能していたかという点だけを見ても、このプログラムに参加していた何百ものアフィリエイトが、LockBit というマルウェアを利用して、ヨーロッパだけでなく世界中の被害者に甚大な被害と壊滅的な打撃を与えていたのです。

イアン：

さて、先日『ポッドキャスト 』に、キヴ・コンサルティング（Kivu Consulting）から興味深いゲストをお迎えしました。同社は、ランサムウェア の被害者がその余波に対処し、復旧プロセスを進められるよう支援している企業のひとつです。そのゲストが、非常に興味深い統計を提示してくれました。同社の分析によると、実際に支払いを済ませた被害者は約3分の1に過ぎないとのことです。ですから、あなたが挙げた2,000人の被害者を基に考えると、その相対的な割合から、彼らは少なくとも6,000件の攻撃を実行した可能性が高いと推測できます。 つまり、ここ数年間という期間を考えると、その活動は信じられないほど多発していると言えます。

では、ウィルさん、御社ではどのようにして「よし、LockBit は我々がアプローチすべき相手だ」と判断しているのでしょうか？リソースの優先順位付けや注力すべき対象は、どのようにして視野に入ってくるのでしょうか？

ウィル：

そうですね。これは本当に興味深いことで、ランサムウェア グループの数が増えるにつれて、状況は時とともにかなり変化してきました。そう、今からかなり前のことですが、私がフィルと一緒にランサムウェア に取り組んでいた頃、ある特定のポイント 時点で、英国や世界中で人々を被害に遭わせていた主要なランサムウェア グループは、おそらく比較的少数だったと思います。 そのため、フィルは、ランサムウェア グループが十数個あれば、一つの組織やチームがそれらを追跡し、監視体制を整えるには十分だと感じていたほどでした。 しかし現在、この脅威が拡大する中、ランサムウェア-as-a-serviceは参入障壁を下げるという点で大きな役割を果たしており、また、現在活動しているグループの数が膨大であることから、数十、50、70、80のランサムウェア グループを同時に積極的に追跡することは不可能です。

そう、私たちには、NCAだけでなく、産業界を含むさまざまなパートナーからデータを収集し、最も注力すべき対象を優先順位付けする内部の優先順位付けメカニズムがあります。しかし、実際にはこれが非常に難しいのです。これは大きな課題です。なぜなら、こうしたグループはしばしば突如として現れ、予想もしない形で非常に、非常に急速に注目を集めることがあるからです。 ですから、将来どのランサムウェア グループが問題となるかを予測したり、理解しようとしたりすることは、本当に、本当に難しいと思います。その予測という要素は、実に難しいのです。

そしてそうですね、市場がかなり細分化されている現状を踏まえると、その問題は多くの点でさらに深刻化していくと思います。かつてのように、ランサムウェア のような大規模なアフィリエイトプログラムや、ランサムウェア-as-a-service型のグループが活動していた時代は終わったような気がしますが、もしかしたら私の見通しが早すぎるのかもしれません。とはいえ、ALPHVやBlackCat、LockBit 、Contiといったグループが再び活動を始めることになるのでしょうか？ そうはならないかもしれません。 私たちが追跡すべき対象はさらに増え、優先順位をつけてリソースを割り当てるべき対象もさらに増えていくでしょう。

イアン：

これは、ダークネット市場カテゴリ でこれまでに見られてきた状況と似ているのではないでしょうか。そこでは、比較的小規模なダークネット市場を運営している限りは、一定期間はその状態を維持できるようですが、シルクロードやハイドラのような規模に大きくなると、あまりにも多くの注目を集めてしまい、逃れることが不可能になってしまうようです法執行機関 。 その考え方が、ランサムウェア の世界にも多少影響を及ぼしているのか、あるいは、ランサムウェア-as-a-serviceというモデル自体が、市場を細分化させる要因になっているのか、私には分かりません。

ウィル：

そうですね、このランサムウェア の市場やエコシステムにおいて、いわば「ポスト・トゥルース時代」に突入しつつあるような感覚があると思います。その結果、こうした中央集権型プラットフォームに対する信頼は、かなり底を打ってしまったのかもしれません。

大規模なアフィリエイトプログラムに対する信頼は、法執行機関 の活動だけでなく、犯罪者たちが自ら行っている行動を背景に、かなり著しく低下していますよね？「エグジット・スキャム」を見れば明らかです。ダークマーケットについてお話しされましたが、Incognitoは現在、そのプラットフォーム上のベンダーや販売業者を騙した詐欺事件でニュースになり、非常に悪名高い存在となっています。 ですから、そうですね、おそらく私たちはそのような状況に向かっているのかもしれません……「ポスト・トゥルース」という言葉がそれを表現するのに最適かどうかは分かりませんが、信頼が低下している時代であり、それがオンライン上の脅威アクターの行動の一部に影響を与えていることは間違いありません。

イアン：

ええ、それは素晴らしいポイント ですね。もし「Incognito Market」をご存じない方のために説明すると、このマーケットプレイスを運営していた個人またはグループは、ある時点でポイント 、サイトを閉鎖し、その後、すべての買い手と売り手に対して通知を行いました。彼らは、自身の情報は匿名であり収集されていないと伝えられていたはずですが、実際には、すべての取引履歴、売買した品目、そして所在地送付 といった情報がすべて収集されていたのです。 さらに、手数料 を支払わなければ、その情報を公開すると脅し、いわば彼らを「ドックス」し、彼らが関与したすべての犯罪行為を暴露すると告げたのです。ウィル、あなたやチームの皆さんも、その話を聞いて少し笑みを浮かべたのではないでしょうか。

ウィル：

うん。そう、予想外だったし、ある意味ではかなり効果的な攻撃だったけど、まあ、それを仕掛けたのは脅威アクター自身だったわけだ。

イアン：

そうですね、素晴らしいですね。では、話題を変えて「オペレーション・クロノス」についてお話ししましょう。明らかに、ある時点でポイント LockBit が優先順位として非常に高いレベルに達し、御組織や国際的な法執行機関 パートナーから「これについて何か対策を講じる必要がある。問題が深刻化しすぎている」という声が上がったわけですね。そこで、どのように着手されたのでしょうか？「オペレーション・クロノス」とはどのようなものですか？そして、どのような成果を上げることができたのでしょうか？

ウィル：

ええ、それは本当に良い質問ですね。 こうした脅威への対応、つまり現在私たちが取り組んでいる活動のほぼすべては、国際的なパートナー、主にいわゆる「ファイブ・アイズ」のメンバーと連携して行われています。つまり、米国、オーストラリア、カナダ、ニュージーランドに加え、欧州のパートナーとも連携しています。多くの場合、その連携はユーロポールを通じて行われており、そこには様々なタスクフォースが設置されており、私たちが国際的なパートナーと一堂に会し、連携を図るための非常に優れたプラットフォームとなっています。

でもそうですね、それは多くの点でサイバー犯罪の脅威の本質を物語っていることの一つですよね。英国で目につく脅威や優先課題となっているものは、しばしば西側のパートナーや同盟国でも同様の状況が見られるのです。つまり、英国で非常に一般的な脅威は、米国でも非常に一般的であり、多くの欧州のパートナー国でも同様なのです。 ですから、協力体制を築く際には、まず初期段階のポイント を通じて、調整を行い、誰が何を担当しているのか、捜査がどの段階にあるのかを理解することが不可欠です。そして、その共通の目標、つまり脅威を阻止し、望ましい成果を上げることに焦点を合わせて協力し、連携を深めていくのです。先ほども述べたように、ユーロポールのようなプラットフォームを通じて協力することは、それを実現するために私たちにとって非常に、非常に強力な手段となります。

イアン：

それは興味深いですね。ちょっとお聞きしたいのですが、このような大規模なアフィリエイトモデルが構築されているケースでの摘発作戦を考えたとき、事案 にあるように、マルウェアを実際に配布している「首脳」や人物を排除すれば、アフィリエイト活動全体を根絶できるという考えなのでしょうか？それとも、すべてのアフィリエイトも対象に含めた、何らかの標的を絞った作戦を計画する必要があるのでしょうか？法執行機関 の専門家ではない私にも分かりやすく説明していただけますか？ 破壊的な措置を講じる際、その作戦は具体的にどのようなものになるのでしょうか？

ウィル：

つまり、これを「ランサムウェア 」の手口として、あるいはビジネスモデルとして捉え、その全体像を包括的に見ているわけです。ここでバスケットボールの例えを間違えてしまうかもしれませんが、私たちが目指しているのは、ネットワークの複数の異なるポイントに負荷をかけるための「オールコートプレス」のようなものです。 つまり、ランサムウェア のオペレーターやLockBitSuppのようなグループだけでなく、アフィリエイトも対象にするということです。ですから、こうしたエンドツーエンドの視点で捉えることが、本当に、本当に重要です。重要なノードを特定し、最大の効果を発揮できる場所を見極め、それに基づいて作戦を設計することが極めて重要です。ですから、可能な限り、そうしたオールコートプレス型の[聞き取れない 00:21:29]を狙っていくわけです。

イアン：

そうだな。フィル、ちょっと聞きたいんだけど、ここでまた話を戻してもらえないかな。というのも、僕たちの仮想通貨追跡機能を使えば、たいていそのアフィリエイトネットワークの全体像が把握できると思うんだ。これは、LockBit にある「事案 」のことだったのかな？

フィル：

ええ、100％その通りです。つまり、ブロックチェーン の情報の魅力の一つは、その透明性にあるのです。この電話会議の冒頭で、私は10年以上前に手がけていた、暗号資産 以前の古い調査について話しましたが、その資金はさまざまな銀行口座を経由して隠蔽されていました。 当時、銀行口座からその情報を入手する唯一の方法は、裁判所に行き、裁判所命令を取得し、召喚状を送達するという法的手続きを経ることであり、その情報は通常、ファックスで返送されてきました。その情報を入手し、資金の行き先を確認した後、再び裁判所に戻り、さらなる情報を入手する。そうしているうちに、あっという間に2年が経過してしまうのです。 2年が経過してしまうのです。「ブロックチェーン 」を使えば、これを瞬時に行うことができ、「Chainalysis 」のデータを活用することで、これらのアフィリエイトが「ランサムウェア 」の異なる系統間でどのように活動しているかを把握できます。

つまり、彼らはLockBit を使用しているかもしれませんが、例えばその後、別の株に切り替えることもあり、その変化を私たちは把握することができます。 私たちは、ブロックチェーン を3万フィートの高度から俯瞰するような視点を持っています。つまり、これは金融インテリジェンスを最大限に活用し、資金がどこへ向かっているかを把握するための極めて貴重なツールなのです。ところで、私はウィルとサイバー犯罪のエコシステムについて何度か話し合ったことがありますが、その際、ウィルもそのようなシステム全体を捉えるアプローチについて触れていました。そして、被害者からこれらの様々なアフィリエイトや、ランサムウェア の異なる亜種へと支払われている資金の流れを確認することができます。 さらに、これらの個人やグループが、アクセスブローカー、インフラプロバイダー、サイバー犯罪フォーラム、詐欺専門組織、資金洗浄サービスなど、エコシステムの他の構成要素に対して支払いを行っている様子も確認できます。つまり、Chainalysis や当社のデータを活用することで、膨大な知見を得ることができ、それを最終的にインテリジェンスの構築、証拠の確保、こうしたサービスの摘発、資産を押収する などに活用することができるのです。

ウィル：

本当に強力ですよね？というのも、暗号資産 は多くの点でサイバー犯罪のエコシステムに真の革命をもたらし、多くの脅威アクターの活動様式を変えたと思うからです。これは単に、そのエコシステム内で取引を行うための非常に優れた手段を提供するだけにとどまらないからです。つまり、以前は物品の売買を行う際、犯罪者同士で取引を行っていました。 やっていること自体が犯罪なのです。では、そこにどうやって信頼性を持たせればよいのでしょうか？実は、暗号資産 は、そのエコシステム内で物を購入したり、あるいは販売したりするための興味深い手段なのです。

ですから、その観点から見ると実に興味深いですね。フィルも言及したように、そこには多くの手がかりや機会がありますが、一方で、暗号資産 は、金銭的な動機を持つ犯行者たち――つまり、報酬目当てで活動している者たち――にとって、その「現金化」の仕組みを一変させてしまいました。以前は、サイバー犯罪のスキームから現金を引き出す際、例えば Dridexの時代のように、人々の銀行口座へのアクセスを狙う場合、標的とする口座のある管轄区域内に「マネーミュール」と呼ばれる仲介者を用意する必要がありました。彼らは、送信 侵害された口座から自分の口座へ資金を振り込み、それを現金化したり、商品を購入して、場合によってはモスクワへ郵送し、闇市場で転売したりしていたのです。

サイバー犯罪者としてこれを実行するのは、実に複雑でコストもかかります。そのため、利益を確定する段階までにその60～80％を失ってしまうことになります。一方、暗号資産 を利用すれば、その価値を非常に迅速かつ効率的に、そして従来よりもはるかに低コストで実現することができます。 つまり、そこが革命的な変化をもたらし、「ランサムウェア 」というビジネスモデルが、多額の身代金を狙って組織を標的にする形として確立されたのです。しかし、その機会には「法執行機関 」にとってのチャンスも伴うと言えます。良い面もあれば、悪い面もあるでしょう。

イアン：

その通りです。彼らにとっては有利な点ですが、場合によっては、私たちがその状況を逆手に取って彼らに不利に働かせることができたと思います。それはとてもワクワクする話ですね。さて、『LockBit 』の件ですが、御社は実際に彼らのシステムの一部にアクセスすることに成功しましたね。その経緯について詳しく教えてください。

ウィル：

そうですね。ですから、このデータにアクセスできたことは、私たちにとって本当に信じられないほど素晴らしい機会でした。『法執行機関 』では、なかなか得られないようなアクセス権や洞察を得ることができました。実際、そこには暗号資産 の機会も山ほどあると言えるでしょう。 つまり、ランサムウェア グループ、つまりLockBitSuppによって割り当てられた暗号資産 やアドレス といったアドレスがあり、そこには暗号資産 やアドレス といったアドレスが記載されており、そこで得た身代金の20％を支払うことになっています。しかし、私たちはチャットや交渉の記録を保持しており、アドレス といったアドレスが被害者に提供されているケースがあります。一部のケース、あるいはかなりの数のケースにおいて、身代金全額がそこに支払われていた可能性があります。

さらに、そこには他にも微妙な違いがあり、身代金が50万ドルを超える場合は、実際にアドレス を2つ提供しなければならず、その結果、身代金管理者は20％の手数料を直接受け取ることになっていたのです。 そう、まさにチャンスに満ちた世界といったところですね。暗号資産 の分野だけでなく、私たちにとっては他にも多くの分野でチャンスがあります。しかし、本当に興味深いのは、こうしたアクセスや洞察を得られることです。それによってビジネスモデルをより深く理解でき、最もインパクトのある破壊的イノベーションを設計する上でも大いに役立っています。

イアン：

リスナーの皆さんはきっと、「政府は一体どうやってハッカーたちのハッキング に侵入したのか？」と疑問に思っていることでしょう。もしお話しいただけるのであれば、アクセスを可能にした手段や手法について教えていただけますか？

ウィル：

ですから、私たちが実際に用いている具体的な戦術や手法についてはお話しできません。

イアン：

わかった。

ウィル：

ただ言えるのは、そう、私たちは、そのグループが活動していたデータとプラットフォームを完全にハッキング し、比較的長期間にわたりそれらへのアクセスと洞察を得ることができました。その結果、被害者を保護し、可能な限り最大の効果をもたらす国際的な共同摘発を計画することができたのです。

イアン：

ええ、この件について読んだ限りでは、あなたは実際に長い間彼らのシステムにアクセスできていたようで、彼らはあなたが内部に潜入してデータを収集し、アフィリエイトネットワーク全体の情報を集め、復号キーを確保していたことなど鍵 、全く気づいていなかったようです。本当に驚くべき隠密作戦でしたね。しかし、ある時点でポイント 、あなたは「よし、そろそろこれを終わらせる時が来た」という決断を下しました。 貴重な情報を収集し続けていると思われる状態で活動を継続させるか、それとも「もう十分だ、この連中の活動を阻止しよう」と決断するか――その判断のきっかけは何だったのでしょうか？ポイント

ウィル：

そうですね。それは本当に良い質問ですね。そこに至るにはさまざまな要因がありますが、適切な業務上の要素を適切に整え、関与させ、そして適切なタイミングでそれらをすべて活用できるようにすることが、本当に、本当に重要です。

そう、いつもそういうトレードオフがあるんですよね。どれくらい情報を集めるか？ どれくらい探すか？ そして、それを実用化するまでどれくらい待つか？ でも、あの絶妙なタイミングポイント で、本当にうまくいったと思います。もちろん、これらすべては、英国であろうと海外であろうと、可能な限り一般市民を守るためのものです。ランサムウェア 事件は、単に身代金を支払うことや金銭的なコストの問題だけではありません。ランサムウェア 被害者の多くにとって、これは生存そのものを脅かす脅威です。それを経験しなければならない人々にとっては、まさに、まさに悲惨な体験です。莫大な金銭的・心理的影響などが伴います。 ですから、私たちは常に、可能な限り被害者中心のアプローチを徹底しています。ええ。そのタイミングを見極めるのは、確かに難しい決断でした。しかし、私たちは適切なタイミングで行動に移せたと思います。

イアン：

確かにそうですね。その通りだと思います。そこで、テイクダウンを実行するという決断を下した際、実際にどのような対応をとったのか、詳しく説明していただけますか。というのも、この件ではかなり注目を集める動きがいくつかあったと思います。例えば、配信された「Spotify Wrapped」の特別版もその一つで、あれは本当に素晴らしかったと思います。その詳細について、いくつかお話しいただけると幸いです。

ウィル：

つまり、これは実際には、長年にわたる多くの学びの集大成だと考えています。先ほども申し上げた通り、これは紛れもなくパートナーとの協働であり、連携体制です。また、私たちの対テロ対策（ランサムウェア ）のアプローチや方法論については、国際的なパートナーと非常に緊密に連携し、学びや知見を共有し、常に事後検討を行い、過去の活動から何がうまくいったか、何がうまくいかなかったかを検証していることが、時間の経過とともに見て取れると思います。 そして、2023年を通じて、さまざまな形態や形式の活動が行われてきましたが、その中には、おそらく「LockBit 」の取り組みで私たちが実践した要素がいくつか含まれていることがお分かりいただけると思います。

これは本当に力強くまとまったと思います。多くの点で相手を締め出し、そのインフラ自体を攻撃の一環として活用するという技術的な可能性は、実に強力なアイデアだったと思います。そして、かつて被害者向けのデータ漏洩サイトを提供するために使われていたそれらのタブを、攻撃のさまざまな要素を盛り込むために活用したのです。 私たちはそれらを活用し、NCAや国際的な法執行機関 パートナーの連合、そして一部の業界パートナーが、彼らに対して実際にどのような対策を実施したかに関する情報を提供していました。

そして間もなく、ツイッター ――いや、すみません、今は「X」と言うべきですね――や、その他多くのSNS プラットフォームが、ミームや様々なコンテンツを次々と投稿し始めました。それを見るのは本当に楽しかったし、多くの点で私たちの取り組みをうまく広めてくれたと思います。

イアン：

技術的な摘発やアクセス遮断に加え、法執行機関 の直接的な対象範囲外にいる可能性のある人々に対しても、強力な社会的抑止力を組み合わせたのは素晴らしいことだったと思います。必ずしも彼らを逮捕できるとは限りませんが、彼らに関する膨大なデータを保有していること、そして彼らが今後監視対象リストに載ることになることを明確に示すのです。将来的にそのような行為を未然に防ごうとする試みは、実に素晴らしいものだと感じました。

ウィル：

ええ、その通りです。私たちは彼らが誰であるか、何をしたかを知っています。そして、世界中の何千人もの被害者に計り知れない苦しみをもたらした彼らを、正義の裁きにかけるべく、国際的なパートナーと協力して取り組むことを決して諦めることはありません。ですから、ええ、これは実に力強いメッセージであり、こうした犯罪を犯した者たちに何らかの代償とリスクを負わせることは、非常に重要なことだと私は思います。

イアン：

そうですね。それに、何よりも重要なのは、かなりの数の復号用鍵 も回収できたということだと思います。ですから、まだ復旧作業の最中にある方々にとっては、ロックされてアクセスできなかったシステムやデータを取り戻せるようになり、少しは安心できるのではないでしょうか。

ウィル：

そうですね。そこには、LockBit の被害者だけでなく、将来の被害者に向けた力強いメッセージも込められています。例えば、身代金要求のみを目的とした攻撃に対して身代金を支払ったとしても、必ずしもデータが削除されるとは限らない、といった点です。まさかそんなことになるとは、誰が想像したでしょう？サイバー犯罪者は信用できません。こうした点は、影響力の観点から見ても、やはり非常に説得力があると思います。

イアン：

そうですね。フィル、話をあなたに移しましょう。もう少し視野を広げてみてはいかがでしょうか。 昨年はランサムウェア の支払い額において、過去最大を記録し、初めて10億ドルを突破したことは承知しています。2024年上半期はどのような状況だったのでしょうか？また、LockBit のようなサイトが摘発されたことを踏まえると、これはエコシステム全体に混乱をもたらしているのでしょうか？それとも、あるサイトを摘発すると活動が他の株へと移行したり、他のグループが活動を活発化させたりするといった「風船を潰すと別の場所に膨らむ」ような現象が起きているのでしょうか？

フィル：

そうですね。確かに、今年はまだ7ヶ月しか経っていませんが、ランサムウェア にとっては今年もまた非常に好調な年になりそうです。暗号資産 の決済業務の観点からは、データ漏洩についてウィルさんの見解を伺いたいところですが、決済業務そのものに関しては、昨年とほぼ同様の状況に見えます。

さて、ここで注目すべき重要なポイント は、最終的には、ブロックチェーン の分析の観点から見ると、状況はかなり異なって見えるだろうということです。なぜなら、本質的に、LockBit が行ったこと、その活動による混乱、そしてBlackCatの活動による混乱がもたらした結果は、こうしたアフィリエイトの多くを追い出したことだからです。したがって、彼らは攻撃を継続するために、他の種類のランサムウェア を使い始めるか、あるいはすでに利用している可能性があります。 さて、その影響を直接的に測定することは困難です。これは、こうした個人や様々な犯罪グループとの、いわば消耗戦のようなものです。ですから、ランサムウェア に関して、官民双方で行われている素晴らしい取り組みを否定したり軽視したりするつもりはありませんが、実際には、悪魔を穴の中に閉じ込めておくという、事案 （絶え間ない戦い）であることが多いのです。

イアン：

そうだな。ウィル、君の視点が気になっているんだけど、サイトが閉鎖されてからの状況はどうだった？他の領域で活動が急増しているようなことはある？少なくとも一時的には、攻撃が減少しているような傾向は見られる？

ウィル：

ええ、エコシステムの観点から見れば、これは間違いなく私たちにとって大きな負担となっています。NCAとして、またパートナーと連携して、私たちが本当にやりたいのは、これまで以上に積極的にその領域で対抗していくことです。 つまり、ランサムウェア スキームを成功させるために必要なあらゆる種類のサイバー犯罪者、例えばアクセス権限を悪用する者……情報窃取者などに対して、最近、ユーロポールやオペレーション・エンドゲームが主導して行われた素晴らしい連携活動が見られました。また、その収益化の手段についても、LockBit が例として挙げられるような、ランサムウェア-as-a-serviceプラットフォームを通じたものなど、あらゆる側面に対処していく必要があります。

しかし、混乱という点では、ええ、その通りです。LockBit の観点から見ると、減少傾向が見られます。LockBit のブランドや評判を維持しようとする取り組みは数多く見受けられましたが、実際には、今やかなりボロボロになっていると思います。非常に古い被害事例をリークサイトにそのまま転載しているケースが多く、中には非常に大規模な被害を主張しているものもありますが、実際にはそれが事実ではないことが判明しています。また、他のランサムウェア グループに関連する被害事例を投稿しているのもかなり興味深い点ですが、これもやはり、そこでの評判を高めようとしているだけだと私たちは考えています。

そして、確かに「LockBit 」マルウェアのソースコードを公開している者たちも存在するため、「LockBit 」による被害が報告される可能性もあります。当然ながら、それはリークサイトには掲載されないでしょうが、実際には「ランサムウェア-as-a-service」グループとは無関係である可能性もあります。 依然としていくつかの攻撃は確認されていますが、概して我々の見解や現在進めている調査では、それらの攻撃の高度さを把握しようとしており、現時点での見解としては、そのレベルは低いと考えています。したがって、「Cronos Operation」の影響は、かなり重大なものだったと我々は考えています。

でも、そうですね。フィルが最初に質問に答える際にも触れていたと思いますが、これは本当に難しい問題だと思います。効果の測定という部分を理解すること、そして、管轄権の問題などを乗り越えて、こうした個人に対して革新的な取り組みを追求し、設計し、実行に移すことは、非常に困難です。さらに、その影響を把握することも本当に難しいです。行動に変化があったとして、その行動をどのように測定すればよいのでしょうか？ それが時間の経過とともにどのように現れるかを、様子を見守るしかないのです。 ですから、今後1年間でそれがどのように展開していくか、様子を見ていくことになります。

また、指標の数値については、そうですね、大まかに言えば、ランサムウェア の数値は2023年と同程度の水準で推移していると思います。しかし、さらに詳細を掘り下げてみると、例えば活動しているグループの数といった点では、少し異なる様相を呈してくると思います。ですから、今年残りの期間でどのように展開していくのか、注目したいところです。

イアン：

ええ、こちらでもぜひとも応援しています。一つお聞きしたいことがあるのですが、最近イギリスで可決された法律について報道がありましたね。それによると、暗号資産 による資産差し押さえが、個人の逮捕前であっても可能になるそうです。 この法律によって、状況は少しあなた方にとって有利に変わったのでしょうか。つまり……失礼、暗号資産 のウォレットのどこかに不正な収益や被害者の資金が保管されていることが分かっている場合、そこにアクセスできれば、当然ながらそれらを押収し、犯罪者 から取り上げることができるという点で、優位性があるのでしょうか？

ウィル：

ええ、確かに、私たちにとって新しいあらゆる種類の権限や能力は、本当に素晴らしいものですし、サイバー犯罪との闘いにおいてそれらを活用できることは大きな強みです。また、付け加えるなら、ここで話題にしているのは必ずしもランサムウェア やサイバー犯罪だけではありません。そのサイバー犯罪のエコシステムや暗号資産 は、実際には、オンライン詐欺を行う者や、インターネット上で商品、特に薬物を売買する者など、さまざまな脅威アクターによって利用・悪用されています。 ですから、NCA内で現在も検討を進め、一部の実践も行っているこの新たな能力が得られたことは本当に素晴らしいことです。今後、この能力がさらに広く活用されていくことになるでしょう。

イアン：

素晴らしいですね。私たちも、あなたとあなたのチームが長年にわたり成し遂げてきた素晴らしい業績の大ファンです。リスナーの皆さん、ぜひお聞きしたいのですが、当番組には法執行機関 の関係者や、検察官、あるいは政府機関のその他の役職に就いている方が多くいらっしゃいます。こうした犯罪者を阻止する取り組みにおいて、私たちがあなた方の成功をより一層後押しするために、何ができるでしょうか？

ウィル：

本当に良い質問ですね。 私たちは、公共部門や民間部門のパートナーと連携し、協力する能力を向上させつつあると思います。私たちだけでこれを成し遂げることはできないと、私たちは強く認識しています。世の中に存在する洞察や知識、そして能力は、まさに比類のないものです。ですから、そうですね、パートナーシップを築き、協力し、情報を共有することは、この分野で成功を収める上で極めて重要な要素です。そして先ほども述べたように、法執行機関 のどの組織や団体も、孤立した存在として、このような大規模で革新的な事業を単独で遂行することはできないでしょう。

そうですね、関与が増えれば増えるほど……NCAとして私たちと連携する方法はいくつかありますし、英国の「法執行機関 」システムのあらゆるレベル――警察本部レベル、地域犯罪対策ユニットレベル、あるいは国家レベル――と連携する方法もあります。ですから、ぜひ皆さんに、この闘いに参加し、協力していただきたいと強く願っています。

イアン：

うわぁ。この話題で締めくくるのは最高ですね。ウィル、今回の『ポッドキャスト 』にご出演いただき、本当に興味深い時間でした。フィル、今日は臨時コホストとしてご一緒いただき、ありがとうございました。お二人とも、本当にありがとうございました。

ウィル：

イアン、ありがとう。フィル、ありがとう。

フィル：

イアン、ウィル、お時間をいただきありがとうございます。本当に感謝しています。ありがとうございます。

 

Chainalysis暗号資産 ポッドキャスト暗号資産 トレース仮想通貨のポッドキャスト仮想通貨の追跡サイバー犯罪サイバー犯罪法執行機関Lockbitオペレーション・クロノス公開鍵ランサムウェアランサムウェア サービスとして

最近の投稿