概要

Europol主導の国際共同捜査「Operation Killswitch」により、ランサムウェア集団KillSecの運営者とみられるルーマニア国籍の16歳少年が9月30日、スペイン・アリカンテで逮捕された。捜査当局はこれと合わせてイギリス・ルーマニアでも20代の容疑者2人を逮捕し、スペイン・ギリシャ・イギリス・ルーマニアの4カ国で計8件の家宅捜索を実施した。捜索では主要サーバーを含むサーバー5台とドメイン5件が押収され、KillSecが被害者を脅迫するために使っていたダークウェブのリークサイトも制圧下に置かれた。押収されたデータは110テラバイトを超える。

捜査の規模と押収内容

捜査はドイツ・ハンブルク州警察およびハンブルク検察庁が主導し、米連邦捜査局（FBI）サンフアン支局とプエルトリコの検察当局、スペインの治安警察隊（Guardia Civil）とカタルーニャ自治警察（Mossos d’Esquadra）、ルーマニアの組織犯罪・テロ対策捜査局（DIICOT）などが参加、EuropolとEurojustが全体を調整した。ベルギー、フィンランド、ドイツ、ギリシャ、オランダ、ルーマニア、スペイン、スイス、イギリス、アメリカの10カ国が捜査に関与している。スペインでの捜索では、容疑者宅からコンピュータ機器や携帯電話、暗号資産ウォレットも押収された。なお、18歳になったばかりとみられる開発者の存在も特定されているが、この人物は今回逮捕されていない。イギリスで逮捕された容疑者は「Archduke」と名乗るオランダ国籍のFouad Eltibrizi氏で、プエルトリコ地区の米連邦大陪審により9月16日付で不正アクセス共謀罪で起訴されている。

KillSecの活動実態

KillSecは2021年以降、ハクティビスト集団として活動を開始し、2023年10月にランサムウェア攻撃へ転換、2024年6月からはアフィリエイト向けにRaaS（Ransomware-as-a-Service）として展開していた。ソフトウェアの脆弱性や設定不備のあるクラウドストレージを突いてデータを窃取し、ダークウェブのリークサイトで公開をちらつかせて金銭を要求する手法を取っていた。捜査当局によれば、同集団は世界で約1000件の攻撃に関与したとみられ、うち約500件が侵入に成功し、スペイン警察はこれまでに280件超の被害を確認済みとしている。

今後の見通し

当局は押収したサーバーやデバイスの解析、暗号資産の追跡を継続しており、他のメンバーの特定にも捜査を広げる方針だ。少年を含む運営者層の摘発に加え、関連する容疑者の起訴が米国でも進んでいることから、今回の作戦はRaaSモデルで拡大してきたランサムウェア集団に対する国際的な摘発の一例として注目される。一方で、主要な開発者とみられる人物が未逮捕であることから、KillSecの技術基盤やコードが別の集団に引き継がれる可能性も残されている。