Brightly Softwareの技術系業務委託者、インサイダー攻撃で禁錮2年の判決

2023年後半に巧妙なインサイダー攻撃を仕掛け、Brightly Softwareから約250万ドルを恐喝しようとした技術者が、禁錮2年の判決を受けたと、司法省が木曜日に発表しました。

「Loot」の異名でも知られるCameron Nicholas Curry容疑者は、Siemens傘下企業でデータアナリストの業務委託者として働きながら一連の犯罪行為に及びました。ノースカロライナ州在住の27歳の男は、機密性の高い従業員情報や報酬データを含む大量の企業データを盗み出し、2023年後半から2024年初頭にかけての6週間にわたり、複数の従業員や幹部を脅迫する材料として利用しました。

Curry容疑者は最終的に2024年1月下旬、同社から7,540.92ドルを恐喝しました。同容疑者は3月、恐喝6件で有罪評決を受けています。

Brightly Softwareは、今月ノースカロライナ州西部地区連邦地方裁判所に提出された裁判記録において、被害企業として名前が明らかにされました。2022年にSiemensが買収した、資産・保守管理ソフトウェアを手がける同社は、コメント要請に直ちには応じませんでした。

今回のインサイダー攻撃は、従業員や第三者の人材紹介会社を通じて配置された業務委託者に、会社所有のノートパソコンで機密データへのアクセスを許可することが、企業にとってどのようなリスクを伴うかを浮き彫りにしています。

検察当局によると、Curry容疑者は2023年8月から12月にかけて同社に勤務していた期間中、社内ネットワークへのアクセス権限を悪用し、恐喝目的で企業データを持ち出しました。同容疑者は最終出勤日の直後から、Brightly Softwareの従業員に対して脅迫メールを送信し始め、データを流出・破壊しないことと引き換えに身代金を要求しました。

Curry容疑者は60通以上のメールを送りつけ、同社の給与データを公開すると脅迫し、そのデータが従業員間の著しい賃金格差を示していると主張しました。これらのメールの中で同容疑者は、このデータ窃取・恐喝攻撃を「給与の透明性を実現するための取り組み」であるかのように装っていました。

当局によると、Curry容疑者はメールに添付ファイルを付け、従業員の個人識別情報を記載したスプレッドシートのスクリーンショットを送っていました。同容疑者はさらに、調停やアメリカ雇用機会均等委員会(EEOC)、あるいは集団訴訟を通じて賃金差別に対処する方法について、従業員に指南を提供すると同社に警告していました。

恐喝メールの中には、個人を標的にした内容も含まれていました。法務部門のある社員がボーナスを受け取っていない一方で、上級職の従業員の大半はボーナスを受給しているという主張もその一つです。Curry容疑者はまた、上場企業に対してサイバー攻撃の速やかな開示を義務付ける規則を引き合いに出し、証券取引委員会(SEC)にこの侵害を報告すると脅迫していました。

上場企業である同社は、2023年12月14日にこの侵害についてFBIに通報し、その約1カ月後、Curry容疑者が要求した身代金の1%未満を支払いました。

捜査当局は、複数の作戦保全(オペセック)上のミスにより、比較的迅速にCurry容疑者を特定し立件しました。同容疑者は身代金受け取り用のCoinbaseアカウントを開設する際、自身の実名を含む本人確認可能な個人情報を用い、さらに母親と姉(妹)名義のデビットカード2枚をこのアカウントに紐づけていました。

FBIは身代金支払いから数週間後、ノースカロライナ州シャーロットにあるCurry容疑者のアパート、各種デジタル機器、および車両を捜索しました。

Curry容疑者には最大12年の禁錮刑が科される可能性がありましたが、最終的な判決は禁錮2年、その後の保護観察1年となりました。

Curry容疑者の弁護団は、検察側の過誤によって本件の審理が長期化したと主張しています。その一つが、Brightly Softwareの本社所在地をワシントンD.C.だと誤って記載した宣誓供述書です。同社の本社はノースカロライナ州ケーリーにありますが、Siemensの米国本社はワシントンにあり、検察当局はそれまで名前を伏せられていた被害企業を、国際的な親会社の子会社として特定していました。

この所在地に関する食い違いにより裁判の管轄が変更となり、Curry容疑者の弁護団は、これによって同容疑者が不必要に長期の公判前拘束を強いられたと主張しています。その期間は完全自宅拘禁の17カ月を含め、合計およそ31カ月に及びました。