イリノイ州の男が、Snapchatユーザーを標的とした大規模なソーシャルエンジニアリング詐欺を組織したとして、複数の連邦犯罪容疑で有罪を認めました。この事件は、アカウント乗っ取り(ATO)攻撃やSMSベースのフィッシングに伴うリスクが依然として根強いことを浮き彫りにしています。
米マサチューセッツ州連邦検事局によると、イリノイ州オズウィゴ在住の27歳、カイル・スバラ(Kyle Svara)容疑者は、2020年5月から2021年2月にかけて実行された組織的フィッシング活動に関連し、加重身元窃盗、電信詐欺、コンピュータ詐欺、共謀の各容疑を認めました。
捜査当局によると、スバラ容疑者は電話番号やメールアドレス、Snapchatのユーザー名といった被害者情報を収集し、アカウント侵害を進める材料として利用していました。
その後、匿名化された電話番号を使ってSnap Inc.のサポート担当者になりすまし、アカウント確認コードを要求する偽メッセージを送信していました。
スミッシングとして知られるSMSフィッシングを通じて、4,500人以上が標的にされました。そのうち約570人がワンタイムアクセスコードを漏らしてしまい、スバラ容疑者は少なくとも59件のSnapchatアカウントの侵害に成功しました。
この手口は、ログイン試行時にセキュリティコードがユーザーに送信されるというSnapchatの正規の認証フローを悪用したものです。被害者を騙してこのコードを共有させることで、スバラ容疑者はパスワードを必要とせずにアカウント保護を突破していました。
米司法省(DOJ)によると、アクセス権を得た後、スバラ容疑者は機密性の高い画像などの非公開コンテンツを抜き取り、アンダーグラウンドフォーラムで売買していました。
盗まれた素材は、アカウント侵害を依頼していた他の脅威アクターとの間でも交換されていました。捜査当局はスバラ容疑者がRedditなどのプラットフォームで自身のサービスを積極的に宣伝し、Snapchatアカウントに「侵入できる」能力をアピールしていたことを突き止めています。
当局はまた、盗まれた素材の一部に児童性的虐待コンテンツ(CSAM)が含まれていたことも確認しており、これにより事件の深刻度と関連容疑は大幅に重くなっています。
この事件は、金銭目的のサイバー犯罪者がソーシャルエンジニアリングと商品化されたアクセス販売サービスを組み合わせる傾向を強めており、より広範なサイバー犯罪市場の中で事実上機能していることを示しています。
この事件では、ノースイースタン大学の元陸上競技コーチであるスティーブ・ウェイス(Steve Waithe)氏が関与する共謀関係も明らかになりました。ウェイス氏は、自身が直接関係を持っていた学生アスリートなど、特定の個人を標的にするようスバラ容疑者に依頼していました。
この点は、内部関係者による脅威と外部のサイバー犯罪サービスとの結びつきが強まっていることを浮き彫りにしています。金銭で雇われる攻撃者は、個人的な面識や文脈情報を利用することで、フィッシングの成功率を高めているのです。
スバラ容疑者の量刑言い渡しは2026年5月18日に予定されています。適用される容疑は重く、電信詐欺で最大20年の禁錮刑、加重身元窃盗で最低2年の禁錮刑(義務的最低刑)、コンピュータ詐欺と共謀の各容疑でそれぞれ最大5年の禁錮刑が科される可能性があります。
今回の捜査はFBIが主導し、シカゴおよびオズウィゴ警察の各法執行機関の協力を得て行われました。当局は、被害の可能性がある人々に対し、公式のFBIポータルを通じて被害を報告し、継続中の捜査に協力するよう呼びかけています。
この事件は、サイバーセキュリティ上のいくつかの重要な教訓を改めて示しています。ワンタイムパスコードは、特になりすまし手口によってユーザーが騙された場合、ソーシャルエンジニアリング攻撃に対して依然として非常に脆弱です。
組織および個人は、アプリベースの認証アプリやハードウェアセキュリティキーといったフィッシング耐性の高い認証方式を優先的に導入すべきです。また、同様の攻撃のリスクを軽減するため、継続的なユーザー啓発トレーニングにも投資する必要があります。
SOC調査の死角を解消し、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への支障を削減しましょう。
翻訳元: https://cyberpress.org/illinois-man-pleads-guilty-phishing-snapchat-codes/