セキュリティ
t.meが約1日にわたって機能停止、サイバー犯罪者に好んで使われるVPNサービスとの関連がないことを証明するまで復旧せず
.MEドメインレジストリの運営会社は、Telegramのメッセージングプラットフォームが制裁対象のVPNサービスに関連するリンクを削除したことを確認する間、t.meの短縮リンクが約1日にわたって機能しなくなっていたことを認めました。
米財務省外国資産管理局(OFAC)は7月13日、ランサムウェアグループなどのサイバー犯罪者にサービスを販売していたとして、First VPN Service(1VPNS)を制裁対象に指定しました。
その直後から、アプリ全体でユーザーがt.meリンクに関する問題を報告するようになりました。Telegramはこのリンクをチャンネルやグループ、プロフィールの共有に使用しています。
創業者兼CEOのPavel Durov氏は公にこの件の調査を要請し、.MEドメインレジストリに問い合わせました。これを受けてDomain.Meは、問題がOFACの制裁措置に関連するものであることを確認しています。
「.MEレジストリは、制裁要件を含む適用法に従い、.MEドメイン全体にわたる問題を監視・緩和するため、法執行機関と緊密に連携しています」とDomain.MeはX上で発表しました。
「7月13日、1VPNSは米財務省によって制裁対象事業体に指定されました。t.meドメインを使用するあるTelegramチャンネルが、1VPNSの関連インフラとして特定されました。これを受け、t.meドメインは一時停止となりました。
7月14日、Telegramは1VPNSとのリンクおよび関連性を削除したことを確認しました。この確認内容を審査・検証した後、t.meドメインの停止措置は解除されました。
この件の解決にあたりTelegramが迅速に協力してくれたことに感謝します」
レジストラ側は、どのTelegramチャンネルまたはグループが1VPNSのインフラとして特定されたのかは明らかにしていません。しかし、同サービスが自前のTelegramチャンネル・アカウントを運営しており、そのグループ独自のt.meリンクがOFACの制裁発表にもそのまま記載されていたことから、これがドメイン全体の障害の原因になった可能性が高いとみられます。
欧州の法執行機関が5月に1VPNSのインフラを停止に追い込んだ際、当局は、ウクライナ・ドニプロ在住の管理者が運営していたこのサービスが、Avaddonを含む少なくとも25のランサムウェアグループによってネットワーク偵察や侵入に利用されていたと説明していました。
欧州刑事警察機構(Europol)の欧州サイバー犯罪センター(European Cybercrime Centre)責任者であるEdvardas Šileris氏は当時、次のように述べています。「サイバー犯罪者たちは長年、このVPNサービスを匿名性への入り口とみなし、法執行機関の手が届かない場所にとどまれると信じていました。今回の作戦は、その考えが誤りであることを証明するものです。
このサービスを停止させたことで、犯罪者たちが活動、通信、そして法執行機関からの回避に依存してきた重要な保護層が失われました」
フランスとオランダが主導したこの摘発作戦を支援したFBIによれば、1VPNSはほぼ犯罪目的のダークウェブフォーラムでのみ宣伝されており、ランサムウェア以外の活動にも利用されていました。
同サービスは、2014年頃にサービスを開始して以来、詐欺行為、ボットネットのトラフィック、サービス妨害(DoS)攻撃、スキャン活動などにも利用されていたとされています。
OFACは月曜日、1VPNSとその管理者であるDmytro Rashevskyi氏を制裁対象に指定しました。同局はまた、ランサムウェアなどのマルウェアをセキュリティソフトによる検知から逃れさせるためのツールである「クリプター」を販売していたYevgeniy Vladimirovich Silayev氏にも制裁を科しました。
今回の制裁発表では、ランサムウェアグループが両方のサービスを利用し、米国企業や重要インフラ事業者に数十億ドル規模の損失をもたらしてきたと述べられています。
財務長官上級顧問であり、テロ・金融情報担当次官の職務も兼務するGene Lange氏は、次のように述べています。「トランプ大統領の指導の下、財務省はサイバー犯罪エコシステムを破壊し、米国民を守るためにあらゆる手段を講じています。
今後も、米国民や重要インフラに対するランサムウェア攻撃を可能にしている関係者を標的にし続けます」®
