ランサムウェア対策・復旧企業MonsterCloudの経営者が、ランサムウェアの被害者を欺いたとして起訴されました。独自技術で暗号化データを復旧すると説明しながら、実際には攻撃者に密かに金銭を支払って復号ツールを入手していたとされています。
起訴されたのはZohar Pinhasi被告（50歳）で、「Zack Silver」「Zack Green」の名でも知られています。ニューヨーク東部地区連邦大陪審が9月23日に起訴し、被告は水曜日にブルックリンの連邦裁判所で罪状認否に臨みました。
被告は、通信詐欺共謀罪1件と通信詐欺罪2件に問われています。検察によると、この復号詐欺は2018年6月から2023年6月まで続いていました。
米連邦検事局はBleepingComputerに対し、Pinhasi被告が水曜日に出頭して無罪を主張し、200万ドルの保釈金を納めて釈放されたと説明しました。
起訴状によると、Pinhasi被告はフロリダ州に拠点を置くランサムウェア対策企業MonsterCloud LLCを所有・運営していました。同社は、サイバー犯罪者に身代金を払わずに暗号化データを復旧できるツールや復号技術を提供すると宣伝していたということです。
検察は、Pinhasi被告と共犯者にそのような独自の復号技術はなかったと主張しています。実際にはランサムウェアの運営者に連絡して復号鍵の代金を支払い、その鍵で顧客のファイルを復元していたとしています。
起訴状は、MonsterCloudの契約書の一部に、同社がサイバー犯罪者と連絡を取ったり金銭を支払ったりする可能性があると記載されていたことを認めています。ただし、それらの契約書では、他の手段で顧客のファイルを復号できない場合に限って攻撃者に連絡すると説明していたとされています。
これに対し検察は、サイバー犯罪者との取引こそがMonsterCloudにとって復号鍵を入手しファイルを復旧する最初の手段だったのが通常だったと主張しています。
連邦検事のJoseph Nocella Jr.氏は次のように述べています。「起訴状で指摘されているとおり、被告は身代金を払わずにランサムウェアを復号できると偽り、顧客を再び被害に遭わせ、自らは莫大な利益を得ました」
「当局は、世界中からアメリカ国民を食い物にするランサムウェア攻撃者と、その犯罪行為で冷笑的に利益を得る者を、厳正に訴追します」
MonsterCloudは、自社が支払った身代金をはるかに上回る金額を顧客に請求していたとされています。
起訴状が挙げたランサムウェア復旧の事例の一つでは、Pinhasi被告はランサムウェア集団に約8,200ドルを支払い、被害者には約15万ドルを請求したとされています。別の事例では、約23万6,000ドルを支払い、顧客に約38万ドルを請求したと検察は述べています。
起訴状はさらに、MonsterCloudが復号したサンプルファイルを「復旧の証拠」として使い、データを復元できると被害者に信じ込ませていたと主張しています。こうしたサンプルは、実際にはランサムウェア運営側から提供されたものでした。
検察によると、この計画の期間中、Pinhasi被告と共犯者は800万ドル超の身代金支払いを仲介しました。一方で、米国とカナダの数百社に復旧・修復サービスの対価として1,900万ドル超を請求していました。
有罪となれば、Pinhasi被告は最長20年の禁錮刑に直面します。
BleepingComputerは、Pinhasi被告の弁護人であるChristopher Clark氏とRodney Villazor氏に今回の容疑についてコメントを求めました。回答があり次第、記事を更新します。
2019年にも同様の懸念が浮上
2019年のProPublicaの調査報道も、MonsterCloudについて同様の懸念を報じていました。同社が、攻撃者への支払い以外の解決策を提供すると称しながら、ランサムウェア運営者に支払いをしていたことがあるという内容です。
この調査の中で、セキュリティ研究者のFabian Wosar氏はProPublicaに対し、自身と別の研究者が独自のランサムウェアを作成し、被害者を装って複数の復旧企業に接触したと語りました。
研究者らは復旧企業に対し、偽のランサムウェア集団が管理するメールアドレスを記した脅迫文を提示しました。Wosar氏によると、攻撃者側として管理していたそれらのアカウントには、まもなく匿名のメッセージが届き、身代金を支払う意向が示されたといいます。
ProPublicaはWosar氏の話として次のように報じています。「まもなく、架空の攻撃者用に設定したメールアカウントに、匿名のアドレスから身代金を支払うというメールが届き始めました。同氏はこれらの要求の発信元をたどり、MonsterCloudやProven Dataなどのデータ復旧企業にたどり着きました」
ProPublicaによると、MonsterCloudは、攻撃者に支払う予定であることを被害者とされる相手に伝えないまま、暗号化されたファイルを復旧できると説明していました。
Pinhasi被告は、MonsterCloudがファイルを復号できると事前に約束していたことは否定し、顧客を欺いたこともないと主張しました。
被告はProPublicaに対し、MonsterCloudの復旧手法は案件ごとに異なると述べました。その内容については「企業秘密」として明らかにしませんでした。
