【ITニュース解説】Inside the FBI's Cyber Most Wanted list

FBIのサイバー最重要指名手配リストは、一般的に知られる映画に出てくるような指名手配リストとは異なり、サイバー犯罪に特化した重要な記録である。このリストに掲載された名前は、過去15年間に起きた数々の大規模なサイバー犯罪の歴史を物語っている。これは単なる犯罪者の名簿ではなく、現実の世界でどのようにサイバー攻撃が企てられ、実行されているかを学ぶための貴重な教訓の集合体と言える。

このリストに名を連ねる人物の一人に、エフゲニー・ボガチェフがいる。彼は「バンキングマルウェアのゴッドファーザー」と呼ばれ、最も有名なサイバー犯罪者の一人である。米国当局は、彼が「GameOver Zeus（ゲームオーバー・ゼウス）」という、感染したコンピューターのネットワークを指揮し、銀行の認証情報を盗み出したと指摘している。さらに、彼は初期の代表的なランサムウェアの一つである「CryptoLocker（クリプトロッカー）」の拡散にも関与していたとされている。彼らの活動によって発生した被害額は、推定で1億ドル（約150億円）以上にも上る。米国は彼の逮捕につながる情報に最大300万ドル（約4億5千万円）という高額の報奨金を設定したが、彼はロシアに住んでいるとされ、現在も逮捕されていない。バンキングマルウェアとは、銀行のウェブサイトに似せた偽の画面を表示させたり、キーボードの入力情報を盗み取ったりすることで、利用者の銀行口座の情報を不正に入手する悪質なソフトウェアのことである。

次に登場するのは、マクシム・ヤクベツだ。彼は「Evil Corp（エビル・コープ）」というサイバー犯罪グループを率い、「Dridex（ドライデックス）」というバンキングマルウェアの背後にいるとされている。米国が2019年に彼を起訴した際には、その情報に対して最大500万ドル（約7億5千万円）の報奨金が提示された。彼が世間に広く知られるきっかけとなったのは、カスタマイズされたランボルギーニを乗り回し、そのナンバープレートにロシア語で「泥棒」と書かれているとされる動画が公開されたことである。これはサイバー犯罪がいかに派手な「ライフスタイル」として表現されるかを示したが、起訴と経済制裁によって、そのような生活を続けることは非常に困難になった。

リストの中で異質な存在が、パク・ジンヒョクである。彼はフリーランスのハッカーではなく、北朝鮮政府のフロント企業で働くプログラマーとして、2018年に米国司法省に起訴された。彼の起訴状には、ソニー・ピクチャーズへのハッキング、バングラデシュ銀行の不正送金事件、そして世界中で猛威を振るったランサムウェア「WannaCry（Wannaクライ）」への関与が記されている。これらは、北朝鮮の国家支援型ハッカー集団「Lazarus Group（ラザルスグループ）」の活動と深く結びついている。彼が米国法廷に立つことはまずないだろうと言われているが、それでも起訴されることには重要な意味がある。国家支援型ハッキングは、個人の金銭目的だけでなく、国の戦略的な目的のために行われるサイバー攻撃であり、その規模や影響は非常に大きい特徴がある。

現代のリストには、ランサムウェアに関連する名前が数多く見られる。ミハイル・マトベエフは、2023年に「LockBit（ロックビット）」「Babuk（バブーク）」「Hive（ハイブ）」といった有名なランサムウェアによる攻撃で起訴され、最大1000万ドル（約15億円）の報奨金がかけられた。ドミトリー・ホロシェフもまた、2024年にLockBitのリーダーとして名指しされ、同じく1000万ドルの報奨金がかけられている。ランサムウェアとは、コンピューターに侵入してデータを暗号化し、その復号と引き換えに身代金（ランサム）を要求する悪質なプログラムのことである。

こうした「サイバー最重要指名手配リスト」に載る犯罪者の多くが、海外にいるため逮捕が難しいように見えるかもしれない。しかし、このリストには三つの点で重要な効果がある。一つ目は、渡航が非常に危険になることだ。指名手配された犯罪者は、起訴状が発行されると、その情報が永久に彼らを追跡する。例えば、ロシア人ハッカーのロマン・セレズネフは、2014年にモルディブでの休暇中に逮捕され、米国に送還されて27年の刑を宣告された。海外旅行は常に逮捕のリスクを伴う「危険な賭け」となる。二つ目は、資金が凍結されることである。起訴されると、しばしば経済制裁が科せられる。これにより、仮想通貨取引所や銀行、そしてビジネスパートナーは、彼らの資金に触れることを拒むようになる。盗んだお金も、使うことができなければ意味がない。三つ目は、サイバー犯罪者間の信頼関係が崩れることだ。サイバー犯罪の世界では、リーダーの評判が非常に重要である。しかし、一度リーダーが身元を暴かれれば、そのグループに属する他の犯罪者たちは、警察が他に何を知っているのか、誰が情報を提供しているのかと疑心暗鬼になる。これは、組織全体の協力体制を壊す効果がある。

システムエンジニアを目指す初心者が、これらの情報から学ぶべきことは非常に多い。これらのサイバー犯罪者たちは、映画に出てくるような魔法の技術でシステムに侵入したわけではない。バンキングマルウェアは保存されたパスワードを盗み、ランサムウェアのグループは他の犯罪者から脆弱なシステムへのアクセス権を購入していた。国家支援のチームは、信じ込ませるような巧妙なメールを送っていた。つまり、彼らが狙うのは、決して派手ではないが、地道な基本的なセキュリティ対策の不備なのである。

だからこそ、現実的な防御策は依然として、地味だが非常に効果的なものばかりだ。例えば、多要素認証（MFA）をあらゆる場所で設定すること。これは、パスワードだけでなく、スマートフォンに送られるコードなど、複数の方法で本人確認を行う仕組みで、パスワードが漏れても不正アクセスを防ぐのに役立つ。次に、システムを常に最新の状態に保ち、セキュリティパッチを適用すること。ソフトウェアの脆弱性は日々発見されており、それを放置すれば犯罪者の侵入口となる。そして、最小権限の原則を守ること。これは、ユーザーやプログラムに、業務を遂行するために必要最低限の権限のみを与えるという考え方で、万が一アカウントが乗っ取られても被害を最小限に抑える。最後に、定期的なバックアップと、それが実際に機能するかどうかのテストを怠らないこと。もしランサムウェアに感染しても、最新のバックアップがあれば、身代金を支払うことなくデータを復旧できる。

結論として、FBIのサイバー最重要指名手配リストは、単なる天才ハッカーたちの名簿というよりも、サイバー犯罪の「ビジネスモデル」のリストである。それぞれの名前は、セキュリティの弱い部分を金銭に変える方法を示している。これらの脆弱性を塞ぐことで、サイバー犯罪者たちは、私たちのシステムを狙う価値がないと判断するようになるのである。