世界で「最も有害なサイバー集団」とされるLockBitが、オペレーション・クロノスと呼ばれる国際法執行機関の合同タスクフォースによって無力化されました。
英国国家犯罪対策庁と米国FBIが主導するこの作戦は、集団の活動実態と能力を明らかにし、2人を逮捕しました。
世界経済フォーラムのサイバー犯罪アトラスは、オープンソースの調査を活用してサイバー犯罪ネットワークに関する実用的な知見を生み出すためのプラットフォームを、サイバー犯罪捜査員に提供しています。
「オペレーション・クロノス」と名付けられた10カ国の法執行機関による国際タスクフォースが、世界で最も活動が活発なランサムウェア集団LockBitの活動を妨害しました。同集団は世界各地の組織を標的とした注目度の高いサイバー攻撃に関与していました。
欧州刑事警察機構（ユーロポール）が「サイバー犯罪との闘いにおける大きな突破口」と評する今回の作戦では、数カ月にわたる捜査の末、LockBitの技術インフラと、ダークウェブ上で一般に公開されていた情報流出サイトが押収されました。
2月19日、オペレーション・クロノスは同サイトに次のメッセージを掲載しました。
「このサイトは現在、英国国家犯罪対策庁（NCA）の管理下にあります。NCAはFBIおよび国際法執行タスクフォース『オペレーション・クロノス』と緊密に連携しています。
「国際的な法執行機関の措置により、LockBitのサービスが妨害されたことを確認しました。作戦は現在も継続中で、進展しています。」
2月20日、NCAは作戦の詳細を公表し、被害者から盗んだデータの保管に使われていたLockBitのウェブサイトの内容を、復号鍵や2人の逮捕に関する情報、さらに「LockBitSupp」と名乗る同集団の首謀者とされる人物に関する情報提供への1,000万ドルの報奨金など、LockBitの活動実態と能力を暴露する内容に差し替えました。
NCA長官のグレアム・ビガー氏は、次のように述べました。「NCA主導のこの捜査は、世界で最も有害なサイバー犯罪集団の活動を画期的な形で妨害しました。犯罪活動がどこで行われ、どれほど高度であっても、当庁と協力機関の手が届かないものではないことを示しています。
「緊密な連携を通じて、私たちはハッカーをハッキングし、そのインフラを掌握し、ソースコードを押収するとともに、被害者がシステムを復号するのに役立つ鍵を入手しました。
「本日現在、LockBitは締め出されています。私たちはその能力を損ない、とりわけ秘密と匿名性に依存していた集団の信頼性を大きく傷つけました。」
LockBitについて、どのようなことが分かっているのでしょうか。
LockBitは2019年から活動しており、当初は「ABCD」ランサムウェアを名乗っていました。世界中の数千人の被害者をランサムウェア攻撃で標的とし、身代金の支払いや復旧費用として数十億ドルの損失をもたらしてきました。
ランサムウェア攻撃とは、サイバー犯罪者がデバイスに侵入し、悪意のあるソフトウェア（マルウェア）を使って情報を暗号化・窃取し、利用者がアクセスできないようにしたうえで、暗号資産による身代金を支払わなければデータを流出させると脅すものです。
LockBitは実質的に、世界各地のハッカーからなるネットワーク、いわゆる「アフィリエイト」にランサムウェアサービスを提供していました。攻撃の実行や、世界中の数千人の被害者からの身代金回収に使うマルウェアとプラットフォームを提供していたのです。
同集団の主な被害者には、英国のロイヤル・メール、航空機メーカーのボーイング、中国最大の銀行ICBC、法律事務所アレン・アンド・オーヴェリーが含まれていました。
米国だけでも、2020年以降、約1,700件の攻撃がLockBitによるものとされています。その標的には、市や郡レベルの行政機関、緊急サービス、学校も含まれていました。
世界経済フォーラムは、世界的なサイバーセキュリティの課題にどう取り組んでいるのでしょうか。
サイバーセキュリティセンターは、リーダーたちが集まり、変化するサイバーリスクとそのシステム全体への影響を理解するための、信頼できるプラットフォームを提供しています。相互接続が進むデジタル世界で、理解と信頼を築くことに重点を置いています。
分野横断的な連携と知見の共有を促すことで、同センターはパートナーによるサイバー耐性の強化と、集団的な対応を必要とする課題への取り組みを支援しています。
オペレーション・クロノスは何を達成したのでしょうか。
NCAによると、タスクフォースは、データ窃取に使われ3カ国に拠点を置いていたLockBit専用のデータ窃取ツール「Stealbit」と、同集団のアフィリエイトが所有する28台のサーバーを押収しました。
一方、EUの法執行協力機関であるユーロポールは、ポーランドとウクライナでLockBitのメンバー2人を逮捕するための調整を行い、同集団に関連する暗号資産口座200件を凍結しました。
米国では、ロシア国籍者に対する起訴状の内容が公開されました。司法省は、アルトゥル・スンガトフ氏と、通称「バスター・ロード」のイワン・コンドラチェフ氏が、LockBitを使って世界各地の企業を標的にしたとして起訴しています。
オペレーション・クロノスは、被害者がデータを復旧するのに役立つ1,000個を超える復号鍵も入手しました。
NCAのビガー氏は次のように述べました。「私たちの仕事はここで終わりません。LockBitは犯罪組織の再建を試みるかもしれません。しかし、私たちは彼らが何者で、どのように活動するのかを把握しています。私たちは粘り強く、この集団とその関係者を標的とする取り組みを続けます。」
企業が自らを守るためにできること
世界経済フォーラムによると、サイバーセキュリティの不備は今後2年間に世界が直面するリスクの第4位です。これは、世界経済フォーラムの「グローバルリスク報告書2024」で示され、同報告書は1月に発表されました。さらに、Chainalysisは今月、2023年の世界全体のランサムウェア支払い額が10億ドルを超えたと報告しました。10億ドルを超えたのは初めてです。
それでも、企業が自らを守るために実行できる対策はあります。例えばユーロポールは、電子機器へのランサムウェア感染を防ぐためのヒントを定期的に更新しており、簡潔な「すべきこと・すべきでないこと」の一覧と、デバイスが感染した場合の対処法を掲載しています。
さらに、世界経済フォーラムは2020年以降、サイバー犯罪対策パートナーシップを通じて、民間セクターと法執行機関の専門家を集め、サイバー犯罪対策に向けた官民連携を強化する提言を策定してきました。これらの提言を受け、世界経済フォーラムは2023年1月、サイバー犯罪エコシステムの全体像を描き、理解を深めるためのサイバー犯罪アトラスイニシアチブを立ち上げました。
このイニシアチブは、オープンソースの調査を活用し、サイバー犯罪捜査員が連携してサイバー犯罪ネットワークに関する新たな知見を生み出すためのプラットフォームを提供します。サイバー犯罪アトラスのコミュニティは、サイバー犯罪対策で重要な役割を担う組織で構成され、調査から得られた実用的な知見を活用して、サイバー犯罪を体系的に妨害できます。
