【ITニュース解説】How police hacked LockBit, the world's biggest ransomware gang

LockBitは2019年頃に登場し、世界で最も活発なランサムウェア攻撃を行う集団として知られるようになった。彼らは世界中の2,000を超える組織を攻撃し、総額1億2,000万ドル（日本円で約180億円）以上もの身代金を受け取っていたとアメリカ司法省は発表している。ランサムウェアとは、標的のコンピューターやネットワークに侵入し、データを暗号化してアクセスできなくするマルウェアの一種だ。そして、そのデータを元に戻すことと引き換えに金銭（身代金）を要求する。もし身代金が支払われなければ、盗み出した機密情報をインターネット上に公開すると脅迫することも特徴である。彼らは「リークサイト」と呼ばれる、被害企業の一覧やデータの公開までのカウントダウンを表示するウェブサイトをダークウェブ上に運営していた。これは彼らにとって、あたかもショールームのような役割を果たしていたのである。

LockBitの活動は「Ransomware-as-a-Service（RaaS）」というビジネスモデルで運営されていた。これは、ランサムウェアをサービスとして提供する形態を指す。具体的には、LockBitのコアチームがランサムウェアのプログラム自体や、被害者との交渉を行うためのツール、そしてデータを公開するためのリークサイトなどを開発し、維持管理していた。一方で、「アフィリエイト」と呼ばれる独立した犯罪者グループが、実際に企業に侵入し、ランサムウェアを展開する役割を担っていた。アフィリエイトは、盗んだVPNパスワードを利用したり、セキュリティパッチが適用されていない脆弱なデバイスや、外部に公開されたリモートデスクトップ接続の穴を突いたりして企業ネットワークに侵入することが多かった。身代金が支払われた場合、その収益はコアチームとアフィリエイトで分けられ、アフィリエイトがより多くの取り分を得る仕組みになっていた。LockBitはまるで合法的なビジネスのように運営されており、サポートスタッフを抱え、マルウェアのソフトウェアアップデートを行い、さらには自分たちのマルウェアに「バグ報奨金（バグを発見した者に報酬を支払う制度）」まで設けていたという。この集団のリーダーは「LockBitSupp」というハンドルネームを使用し、自身の匿名性に非常に自信を持っていたため、自分の正体を明かした者には1,000万ドル（約15億円）の報酬を支払うと公言するほどだった。しかし、この自信が後に彼の大きな過ちとなる。

2024年2月19日から20日にかけて、イギリスの国家犯罪対策庁（NCA）が主導し、アメリカ連邦捜査局（FBI）や欧州刑事警察機構（ユーロポール）、さらには約10カ国のパートナー機関と協力した大規模な国際捜査作戦「Operation Cronos（オペレーション・クロノス）」が実施された。この作戦はLockBitの活動の核心部分を直接狙ったものであった。警察当局は、LockBitの管理環境とリークサイトを掌握することに成功した。これにより、犯罪者たちが被害者と交渉したり、盗んだデータを公開したりする基盤が完全に奪われたことになる。さらに、彼らが使用していたサーバーや、身代金の受け渡しに使われていた仮想通貨の口座も押収された。この作戦の重要な成果の一つとして、約1,000件に及ぶ「復号鍵」の取得が挙げられる。復号鍵とは、暗号化されたデータを元に戻すための鍵のことで、これにより多くの被害企業が身代金を支払うことなくデータを復元できるようになった。また、実際に攻撃を実行していたアフィリエイトに関する情報も大量に収集された。

しかし、この作戦で最も印象的だったのは、警察当局が見せた心理戦の手法である。単に「サイトを停止した」というメッセージを表示するだけでなく、警察はLockBit自身のリークサイトのデザインを模倣して再構築し、そのサイト上で作戦の進行状況を公開したのだ。彼らは、LockBitが被害企業に対して行っていたのと同じように、カウントダウンタイマーを設置し、今度はLockBitに関する情報公開までの時間を表示した。さらに、作戦の詳細を公表し、リーダーであるLockBitSuppを公然と嘲笑し、彼の正体が明らかになることをまるで映画の予告編のように発表した。これはまさに心理戦であり、サイバー犯罪者間の「信頼」を揺るがすことを狙ったものだった。アフィリエイトたちは突然、「NCAは自分のことをどこまで知っているのだろうか」という疑念を抱かざるを得なくなり、LockBitという組織全体の結束力が大きく損なわれた。

Operation Cronosは、これまで身代金を支払うことを検討してきた企業にとって重要な真実を明らかにした。LockBitのビジネスモデルは、身代金を支払えば盗まれたデータは確実に削除されると約束していた。しかし捜査当局の調査により、LockBitは身代金を支払った被害企業から盗んだデータを実際には削除せず、保持し続けていたことが判明したのだ。「データは削除された」という彼らの主張は、真っ赤な嘘だったのである。この事実は、もし誰かが「身代金を支払うのが最も手っ取り早く問題を解決する方法だ」と言ったとしても、それを信じてはならないという重要な教訓を示している。身代金の支払いは、犯罪者の「約束」を買うことに他ならず、その約束は期待通りの価値しか持たないということをOperation Cronosが証明したのである。

2024年5月、イギリス、アメリカ、オーストラリアの各国政府は、LockBitSuppの正体がロシア国籍のドミトリー・コロシェフ（Dmitry Khoroshev）であることを特定し、公表した。彼は制裁の対象となり、アメリカでは起訴され、彼の逮捕につながる情報に対してアメリカ政府は最大1,000万ドルの懸賞金をかけた。彼はFBIのサイバー最重要指名手配リストに名を連ねることになった。彼は自身の正体を開示する者に1,000万ドルを支払うと豪語していたが、警察はそれを無料で公開したことになる。

Operation CronosはLockBitを完全に消滅させたわけではない。LockBitは新しいインフラを構築し、再び活動を再開しようとする動きも見せた。しかし、この作戦によって彼らの評判は取り返しのつかないほどのダメージを受け、多くのRaaSアフィリエイトは他のランサムウェアグループへと鞍替えしていった。かつてランサムウェアの世界を支配していたLockBitというブランドは、サイバー犯罪がいかに危険なビジネスであるかを示す教訓的な物語へと変わってしまった。サイバー犯罪における現実的な勝利とは、必ずしも最終的な逮捕ではなく、このように犯罪者のビジネスモデルを破壊することにある。

システムエンジニアを目指す者として、Operation Cronosから得られる教訓は非常に大きい。ランサムウェア攻撃は、簡単に侵入できる顧客を探すビジネスであると認識する必要がある。ほとんどのアフィリエイトは、盗まれたVPNパスワード、セキュリティパッチが適用されていないエッジデバイス、公開されたリモートデスクトップ接続の脆弱性などを利用して侵入してくる。これらの入口をしっかりと閉じることで、攻撃のターゲットリストから外れる可能性が高まるだろう。 また、バックアップは攻撃者に対する最も強力な交渉材料になる。もし企業がシステムを復元できる適切なバックアップを持っていれば、ランサムウェアの要求は単なるインシデント（事件）に過ぎず、人質事件のような絶望的な状況にはならない。 もしランサムウェア被害に遭った場合は、速やかに当局に報告することが重要だ。Operation Cronosのような作戦は、被害者からの報告に基づいて情報が収集され、復号鍵を取り戻すことにもつながる可能性がある。そして、犯罪者が提供する「データを削除した」という約束を絶対に信用してはならない。もしデータが盗まれたのであれば、そのデータはすでに外部に流出したものとして計画を立てる必要がある。 Operation Cronosは、どんなに大きなランサムウェア集団であっても、その実態は単なるウェブサイト、いくつかのサーバー、そして多くの脆弱な「信頼」の上に成り立っていることを示した。それらの基盤を奪ってしまえば、「手が出せない」と思われていたハッカーたちも、実は非常に脆弱であることが明らかになる。私たちサイバーセキュリティの担い手としての役割は、彼らが最初の足がかりを得ることを決して許さないことだ。