イリノイ州の男性、スナップチャットユーザー4,500人をフィッシングしプライベート写真を盗んだ罪で有罪答弁

イリノイ州の男性が、数千人のSnapchatユーザーを標的としたフィッシングおよびアカウント乗っ取りの手口について有罪を認め、多数の女性からプライベート画像を盗んだとされる事件が明らかになりました。

連邦検察当局によると、イリノイ州オスウィゴ在住のカイル・スヴァラ被告(27歳)は、加重身分盗用、電信詐欺、コンピュータ詐欺、コンピュータ詐欺共謀、児童性的虐待素材に関する虚偽供述など複数の罪状を認めました。ブライアン・E・マーフィー連邦地裁判事は、量刑言い渡しの期日を2026年5月18日に設定しています。

イリノイ州の男性が有罪を認める

少なくとも2020年5月から2021年2月にかけて、スヴァラ被告はSnapchatユーザーを狙った標的型のソーシャルエンジニアリング攻撃を展開していたとされています。

同被告は被害者のメールアドレス、電話番号、Snapchatユーザー名を収集し、その後アカウントアクセスやパスワード復旧の手続きを開始することで、Snap Inc.から正規のセキュリティコードをユーザー宛てに送信させていました。

セキュリティコンサルティングサービス

スヴァラ被告は匿名化した電話番号を使ってSnap Inc.の担当者になりすまし、セキュリティコードを求めるテキストメッセージを送信していました。

この手口は、フィッシングでよく使われる戦術に基づいています。攻撃者は、被害者を説得して有効期限付きの正規の確認コードを開示させることができれば、プラットフォームの認証制御を直接突破する必要がないのです。

当局の発表によると、スヴァラ被告はこの手口で4,500人以上にテキストメッセージを送信していました。そのうち約570人の女性が自分のSnapchatアクセスコードを提供してしまい、結果として同被告は少なくとも595件のアカウントに不正アクセスできる状態になっていました。

アカウントに侵入した後、同被告はヌードまたは半裸の画像をダウンロードし、その後盗んだコンテンツをインターネット上のフォーラムや個人間の取引を通じて保持・販売・交換していたとされています。

検察当局はさらに、スヴァラ被告がRedditへの投稿などを通じてオンラインで自らのサービスを宣伝し、「女子のSnapアカウントに入り込める」として、購入者や交換相手向けにコンテンツを入手できると主張していたと指摘しています。

本件は、SMSベースの認証で保護されたアカウントを乗っ取ろうとするソーシャルエンジニアにとって、正規ユーザーには不可欠なアカウント復旧機能が格好の標的になりうることを浮き彫りにしています。

この犯行は、ノースイースタン大学の元陸上競技コーチであるスティーブ・ウェイス被告と関連しているとされています。ウェイス被告は、自身が指導または面識のあった女性たちのSnapchatアカウントを侵害するよう、スヴァラ被告を雇い報酬を支払っていたとされています。

ウェイス被告は2023年11月に電信詐欺、サイバーストーキング、コンピュータ詐欺、共謀の罪で有罪判決を受け、2024年3月に禁錮5年、その後保護観察付き釈放3年の判決を言い渡されました。

ウェイス被告に関連するアカウントを標的にしたほか、スヴァラ被告はイリノイ州プレインフィールド周辺の女性や、メイン州ウォータービルにあるコルビー大学の学生も標的にしていたと報じられています。

捜査官への聴取の際、スヴァラ被告はSnapchatのハッキングへの関与を否認し、児童性的虐待素材を求めたり入手したりしたことはないと主張していたとされています。

しかし、マサチューセッツ州連邦検事局によると、捜査当局は同被告がそうした素材を収集・配布・要求していたことを突き止めました。

FBIは、被害を受けた可能性のある人物や関連情報を持つ人物に対し、被害者支援フォーム(forms.fbi.gov/victims/snaphackvictims)を通じて報告するよう呼びかけています。

本件は、たとえテクノロジープラットフォームの担当者を名乗る相手であっても、ワンタイムセキュリティコードを決して共有してはならないという重要性を改めて示しています。

警告: 20を超える政府系サイトが企業や市民にマルウェアを配信していました。 攻撃に関する詳細な調査結果はこちら から確認し、自組織のリスクをチェックしてください。