スペイン当局は、世界で約1,000件の攻撃に関連するランサムウェアグループKillSecの主要な運営者を務めていたとされる16歳のルーマニア国籍の少年を、複数の欧州諸国にまたがる国際捜査の一環として逮捕した。

捜査関係者によると、KillSecはソフトウェアの脆弱性やセキュリティ対策が不十分なアクセスポイントを悪用して標的組織を侵害しており、特にクラウドストレージが弱点だったという。このグループは機密データをコピーした後、暗号資産での支払いを要求し、要求に応じない場合は盗んだ情報を公開すると脅していた。これは「二重恐喝」として知られる圧迫手法で、被害者がバックアップから暗号化されたシステムを復元できたとしても、盗まれたデータが引き続き圧力をかけ続けるため、ランサムウェア攻撃の常套手段となっている。

資金の追跡は、今回の捜査の中心的な糸口となっている。スペイン警察は、捜索の過程で暗号資産ウォレットを押収し、一部の被害者が支払った身代金と一致するとみられる取引を特定したと明らかにした。暗号資産の支払いの多くは公開台帳に永久的な記録を残すため、押収したウォレットと取引の一致により、捜査当局は支払い後に身代金資金がどこへ移動したかを把握できる。

4か国にまたがる合同取り締まり

この一連の作戦により、スペイン、ギリシャ、ルーマニア、英国で3人が逮捕され、8か所が捜索された。英国で逮捕された2人目の容疑者は、プエルトリコからの身柄引き渡し要求に直面している。プエルトリコでは、米当局がKillSecに関連するサイバー攻撃の疑いでオランダ国籍の男性を別途起訴している。3人目の容疑者はルーマニアで拘束された。こうした国境を越える法的手続き、すなわち身柄引き渡し要求と米国での別途起訴は係属中であり、KillSecのメンバーとされる人々が最終的にどこで訴追されるかに影響を及ぼす可能性がある。

捜査当局はまた、8月に18歳になったものの、一部の疑われた犯罪行為が発生した時点では未成年だったとされる開発者も特定している。この人物は逮捕されていない。

Reuters reportedによると、16歳の少年はアリカンテで拘束され、KillSecの管理者を務めていた疑いが持たれている。当局はこの少年の身元を公表していない。

暗号資産による収益は依然捜査下に

スペインの捜査当局は、コンピューター機器、携帯電話、暗号資産ウォレット、活動の隠蔽を目的としたツールを押収した。この証拠により、当局は身代金の支払いが暗号資産ウォレット間でどのように移動したかを追跡し、疑われた活動に関連する追加の参加者や資産を特定できる可能性がある。

Europol(欧州刑事警察機構)によると、KillSecは被害者から多額の身代金を得ており、組織が支払いを拒否した場合には盗んだ情報を公開すると脅すリークサイトも運営していた。

当局は、約110テラバイトのデータを含むサーバーを含むKillSecのインフラを掌握した。CryptoMeter ioによると、法執行機関が同グループの疑われた攻撃、収益、より広範なネットワークを調査しており、捜査は継続中である。