• ランサムウェアの実行犯は、暗号化層、VPN、Tor ネットワークの背後に身元を隠し、特定を困難にしている。
  • 各国の法的枠組み、外交プロトコル、犯罪人引渡し手続きの違いが、法執行機関間の円滑な協力を妨げている。
  • ランサムウェア攻撃者は、ゼロデイ攻撃やポリモーフィック型マルウェアなどの高度な手口を使って検出を逃れる。

ランサムウェア攻撃は、今日のデジタル環境において、個人、企業、政府機関を壊滅的な結果で標的にする広範な脅威となっている。法執行機関とサイバーセキュリティ専門家がこれらのサイバー犯罪と戦う努力にもかかわらず、ランサムウェアの実行犯を捕まえることは依然として大きな課題である。

ランサムウェアとは？

ランサムウェアはマルウェアの一種で、身代金が支払われない限り、ファイルや機密データ、個人識別情報（PII）を暗号化し、被害者がアクセスできないようにするために設計されている。ランサムウェアの実行犯は、恐喝の手口を利用し、セキュリティ対策が不十分な個人や組織、またはパッチ未適用の脆弱性を突く形で、コンピューターやモバイル端末にマルウェアを注入し、ランサムウェアのペイロードを実行する。

復号鍵なしで暗号化ファイルを回復することは極めて困難であり、日々の業務で暗号化データに依存する企業に深刻な結果をもたらす。指定された期限内に身代金要求に応じない場合、ファイルの永久消失や公開暴露につながる可能性がある。

現在、多くのサイバー犯罪者はビットコインなどの暗号通貨で身代金支払いを要求し、その分散型の性質を利用して金融取引を隠蔽している。ブロックチェーン上での身代金支払い追跡には困難が伴うものの、依然として可能である。

関連記事：ランサムウェア攻撃の 5 つの主な種類

なぜランサムウェアの実行犯を捕まえるのが難しいのか？

ランサムウェア攻撃者は多くの場合、匿名で活動し、暗号化層や仮想プライベートネットワーク（VPN）、Tor ネットワークなどの匿名化技術の背後に身元を隠している。身代金支払いに暗号通貨を使用することで、さらに匿名性が加わり、金融取引の追跡や実行犯の特定が困難になる。

ランサムウェア攻撃はしばしば外国の管轄区域から発信されるため、国際的な管轄上の課題により捜査プロセスが複雑になる。法的障壁、外交プロトコル、各国の法的枠組みの違いが、容疑者の引き渡しや法執行機関間の調整を妨げている。

ランサムウェア攻撃者は、ゼロデイ攻撃、ポリモーフィック型マルウェア、ソーシャルエンジニアリング技術など、検出を逃れる高度な手口を使用する。高度な暗号化手法により、サイバーセキュリティ専門家がファイルを復号したり、悪意のあるコードの脆弱性を特定することが困難になり、捜査プロセスが長期化する。

関連記事：ランサムウェア攻撃の知っておくべき影響

ランサムウェアの実行犯は逮捕されているのか？

Europol は国際的な犯罪対策機関と連携し、2019 年以降 71 カ国で 1,800 人以上の被害を出した多数のランサムウェア攻撃に関与したサイバー犯罪ネットワークを摘発した。2 年間の捜査の後、2021 年にウクライナとスイスで家宅捜索が行われ、これらの攻撃に関連する 12 人が標的となった。犯罪者は大企業を標的とすることで知られ、LockerGoga、MegaCortex、Dharma などのランサムウェア株や TrickBot などのマルウェア、ポストエクスプロイトツールを使用して、検出を逃れ、コンピュータネットワークの脆弱性を悪用していた。Europol はグループの現金 52,000 ドルと高級車 5 台を押収した。

2021 年末、米司法省は、Sodinokibi/REvil ランサムウェアの展開に関与した外国人 2 人に対して措置を講じ、企業や政府機関への攻撃を行ったとして起訴した。22 歳のウクライナ人 Yaroslav Vasinskyi は、2021 年 7 月の Kaseya 攻撃を含むランサムウェア攻撃を行ったとして起訴された。

さらに、28 歳のロシア人 Yevgeniy Polyanin が受け取った身代金支払いに関連する資金 610 万ドルが押収された。両被告は、共謀詐欺、保護コンピュータへの損害、資金洗浄の罪に問われている。Vasinskyi はポーランドで逮捕され、米国への引き渡しを待っているが、Polyanin は依然として海外にいる。

そして 2024 年 5 月、Vasinskyi はテキサス州で13 年以上の実刑判決を受けた。

関連記事：歴史上の 5 大ランサムウェア攻撃

2024 年 2 月、法執行機関の世界的な協調した取り組みにより、悪名高いランサムウェアグループ LockBit が摘発され、2 人の逮捕と 200 の暗号通貨アカウントの差し押さえが行われた。英国国家犯罪庁（NCA）が主導したこの作戦は、被害者のネットワークに感染させる任務を負うアフィリエイトにランサムウェアサービスを提供することで知られる LockBit を標的とした。

ポーランドとウクライナの警察が作戦の一環として追加の逮捕を行った。「オペレーション・クロノス」と名付けられた摘発は 10 カ国の連合によるもので、LockBit のインフラを掌握し、グループ自体に関する内部データを公開するに至った。開示された起訴状では、Artur Sungatov と Ivan Kondratyev が LockBit ランサムウェアを使用して、複数の国にわたる様々な業界の被害者を標的にしたとして起訴されている。