ラスベガス警察、2023年にカジノを襲撃したとされる未成年を逮捕

2023年末に複数のラスベガスのカジノに対するサイバー攻撃に関与した疑いのある10代の少年が先週逮捕されました。ラスベガス・メトロポリタン警察によると、この未成年は水曜日にクラーク郡少年拘置センターに自首し、複数の容疑で収容されました。

未成年であるため名前は公表されていませんが、この容疑者は恐喝、恐喝共謀、コンピューターに関する不法行為、そして他人を害したりなりすましたりするための個人識別情報の取得および使用の3件で起訴されています。

当局はこの10代の少年のサイバー攻撃への関与について詳細は明らかにしていませんが、特にScattered Spiderとされる高い注目を集めたカジノ攻撃と少年を結び付けており、これには2023年8月から10月にかけてMGMリゾーツ・インターナショナルやシーザーズ・エンターテインメントに対する壊滅的な攻撃が含まれています。

これらの攻撃により、MGMリゾーツ・インターナショナルが所有する複数のカジノ施設が停止し、同社は規制当局への提出書類で、1億ドルの収益損失と1,000万ドルの対応・復旧に関する一時的な費用が発生したと述べています。シーザーズは当時、1,500万ドルの恐喝金を支払ったと報じられており、これについても規制当局への提出書類で言及しています。

これらの攻撃への関与が疑われる未成年は、ロンドン在住のタルハ・ジュベア（19歳）とイングランド・ウォルソール在住のオーウェン・フラワーズ（18歳）の2人の10代がイギリスで逮捕された翌日に当局に出頭しました。2人もScattered Spiderによるとされる多くの攻撃への関与が疑われています。

Scattered Spiderは、若いネイティブ英語話者で構成される縛りのないサイバー犯罪集団で、2022年以降少なくとも120件のサイバー攻撃に関与していると当局は述べています。脅威リサーチャーは、イギリスのMarks & Spencer、United Natural Foods、WestJet、ハワイアン航空など、同グループによる巧妙な手口の注目度の高いサイバー攻撃を多数指摘しています。

The Comの曖昧な分派であるこのグループは、ソーシャルエンジニアリングやフィッシングを使って重要なインフラや企業ネットワークに侵入することで悪名高いです。リサーチャーによれば、これらの攻撃には通常複数の人物が関与し、特定の技術的スキル、ソーシャルエンジニアリング、恐喝のスキルを持ち寄って目的を達成しているとのことです。

司法省は先週、Scattered Spiderが2022年5月から2025年9月までに米国内の47の組織に対する恐喝攻撃を行ったと発表し、被害者は少なくとも1億1,500万ドルの身代金を支払ったと述べました。

サイバー犯罪の専門家たちは、ラスベガスで逮捕された10代の身元や、彼が実際に犯したとされる具体的な犯罪については把握していません。「そのハッキングを支援した地元の[住民]がいるとは以前は知りませんでした」と、Unit 221Bの主任リサーチオフィサーであるアリソン・ニクソン氏はCyberScoopに語りました。

「そのグループの典型的な[手口]として、ハッキングのために物理的な支援ができる地元の人間をリクルートすることがあります」と彼女は付け加えました。

Silent Pushのシニア脅威アナリストであるザック・エドワーズ氏は、この未成年が「他の逮捕された人物によって身元が明かされる重大なリスクを感じ、逮捕を先回りすることで家族への負担を軽減し、裁判所の目に寛大な判断を期待した可能性がある」と述べました。

当局によれば、FBIのラスベガス・サイバータスクフォースと協力するラスベガスの刑事が、カジノ攻撃の捜査中にこの10代の少年を容疑者として特定したとのことです。地元警察は事件に関する追加情報を公表しておらず、FBIもこれ以上のコメントを控えています。

ラスベガス警察によると、クラーク郡地方検事局は、この未成年を成人として刑事部門に移送し、起訴することを求めています。