流出チャットが明かすロシア系恐喝グループの手口、米法律事務所に「エージェント」を潜入

ロシアを拠点とするサイバー恐喝グループのメンバーが、米国の法律事務所に工作員を送り込み、企業幹部を誘拐し、さらには軍関係者を勧誘して潜水艦発射型の核戦力を探らせようと計画していたことが分かりました。Recorded Future Newsが確認した流出チャットから明らかになりました。

このアーカイブは、動機を明かしていない身元不明の人物が、10月初めに専用の.onionサイトで公開したものです。2025年8月から2026年9月までの数千件のメッセージが含まれています。

メッセージの中でメンバーは、数十の被害者を追跡し、数百万ドル規模の支払いをめぐって交渉し、米国内にいる「エージェント」と呼ぶ工作員に指示を出しています。名前が挙がった組織の中には、侵害を公表していないものもあります。

アーカイブには、実際の恐喝とみられる記録のほか、アイデアの出し合い、断念された計画、自慢話、暴力的な妄想が入り交じっています。最も過激な計画が実行に移されたかどうかは、Recorded Future Newsでは確認できていません。

一方で、流出データの一部は独立して裏付けられています。ブロックチェーン分析企業のChainalysisは、流出データに含まれる暗号資産アドレスを調べ、Luna MothやChatty Spiderとしても追跡されているSilent Ransom Groupによる既知の恐喝と関連付けられると発表しました。ただし同社は、アーカイブに記録された主張の「全体については言及できない」としています。

FBIも、ロシア系の恐喝グループとしては極めて異例なこのグループの手口を確認しています。グループが「エージェント」と呼ぶ人員を勧誘し、被害者のオフィスに物理的に侵入させるというものです。今年初めに出された緊急警告では、Silent Ransom Groupのメンバーが、コンピューターへの物理的なアクセスを得るためにIT担当者を装っていると注意を呼びかけていました。

チャットで共有されたある交渉では、法律事務所の代理人が、ある人物がニューヨークのオフィスに入り、ファイルをフラッシュドライブにコピーしたことを把握していると恐喝者に伝えていました。

この事務所は、要求を決着させるために経営陣が100万ドルを承認したものの、デジタルと物理の両方の情報の複製がすべて破棄されたという証拠を求めたとしています。その理由として、身代金を支払った被害者のデータをLockBitランサムウェアグループが削除していなかったという証拠を挙げました。

Telegramでの人員募集 

内部のやり取りからは、メンバーが「エージェント」を事務所に送り込む方法を何カ月も練っていたことが分かります。ある参加者は、配達員の制服と保温バッグの購入を提案しました。「エージェント用にこうした保温バッグと制服を買う」と書き込み、工作員がピザを届けて受付を通過し、そのまま本社オフィスでIT担当者を装うという作戦の概要を説明しています。

別のメンバーは、実在する弁護士をモデルにした特製マスクの作成を提案しました。さらに別のメンバーは、クライアントを装うエージェントがオフィス内部を撮影できるよう、スマートグラスの購入を持ちかけています。

以前の買い物リストには、紫外線機能を備えた3,200ドルのプリンターや、身分証を作るためのホログラム素材が含まれていました。アーカイブに記載された支出には、ニューヨークの業者を含む偽造業者への送金もあります。

ピザ配達の偽装や弁護士のマスクといった計画が実際に使われたかどうかは、アーカイブからは分かりません。ただ、偽装した人物をオフィスに送り込むという大まかな手口は、FBIの説明と一致します。

このグループの物理的侵入モデルは、作業を担う人材を確保できるかどうかにかかっていました。ロシアやイランの情報機関が勧誘する使い捨てのエージェントと似た構図です。

メッセージによると、グループはこうした「エージェント」を、ナイトクラブの集客、配達、警備といった普通の求人に見せかけた有料のTelegram広告で募集していました。広告はロシア語話者を狙ったものとみられます。

チャットからは、人員募集が混乱していた様子もうかがえます。名簿にはエージェントが番号コードと都市別に並び、ある項目には17歳の人物について、働ける状態だが未成年だと記されていました。別のチャンネル名からは、グループのエージェントの1人がシカゴで拘束されたことを示唆するものもあります。

グループの首謀者とみられる人物は2月、使える人員は10人に1人にすぎないと見積もり、これを作戦の「コンバージョン」率と呼びました。別のメンバーは、このプロセスをベルトコンベヤーにたとえています。メッセージによれば、報酬を受け取った後に姿を消す人員や、オフィスの入り口で手を引く人員もいました。有償のテスト任務を任された人員もいます。

人員の全員が最終的な目的を理解していたかどうかは不明です。あるやり取りでは、メンバーの1人が、計画の全容を明かすのは「完全に信頼できる者」だけにすべきだと提案していました。

幹部らは、こうした人員をたびたび見下し、人種差別的な表現で言及していました。エージェントがグループの金を盗んだり、FBIに駆け込んだりした場合に備え、エージェント自身を追跡することも話し合っていました。

パイプライン管理

被害者は、一般的な営業パイプラインと同じ構造で管理されていました。案件は「チャット」の段階から「オファー」「契約」へと進み、最終的に「ゴールド」になります。

ある交渉では、10万ドルの初回提示額が「ゼロが1つ足りない」とあざけられていました。

その後の記録では、金額は50万ドル、150万ドル、225万ドル、300万ドル、350万ドルと上がり、600万ドルの契約を経て「ゴールド」と記載されています。

「ゴールド」とされた数十の事務所全体で、アーカイブには約2億ドルの和解金が記録されています。これはグループ自身が主張する数字で、独立した検証はできていません。

記録には約50の組織が登場し、大半は法律事務所です。うち複数は今年、サイバーインシデントを公表していますが、公式に何も発表していないところもあります。

チャットでは、情報を得るための極めて強圧的な方法も議論されていました。対象は、日常的に「年寄り」と呼ばれていた上級弁護士や経営幹部です。尾行して行動パターンを把握する案のほか、あるやり取りでは、交渉材料として標的の1人の学齢期の子どもを撮影する案も出ていました。

ほかにも、偽のエスコートサイトと性的な脅迫を組み合わせる計画、幹部やその親族の誘拐、エージェントやグループを欺いたと疑われる人物を脅す「懲罰」グループの結成などが提案されました。

このチャンネルのメンバーは、グループが本物の武器と偽物の武器のどちらを使うべきかも議論していました。こうした計画が実行されたことを示すものは、アーカイブにはありません。

軍事分野への狙い 

議論は、法律事務所にとどまらない箇所もあります。4月には、グループのリーダーが、米陸軍と取引のある大手軍事請負企業の上級社員だと説明する人物を標的にする可能性を持ち出しました。

このやり取りでリーダーは、軍事関連企業は通常の身代金の被害者と同じようには扱えず、「収益化」の方法を変える必要があると述べています。

別のユーザーは、ロシア国防省が資金を出す可能性があると返信しましたが、本気の提案だったのかどうかは不明です。このユーザーは笑顔の顔文字でメッセージを締めくくり、寝ると告げています。

ロシア国防省がこのグループに接触したり、作戦を依頼したり、その費用を支払ったりしたことを示す証拠は、アーカイブにはありません。

ただ、5月に作られた別のチャットチャンネルでは、「潜水艦発射型核戦力」の動向に関する機密情報を得るため、海軍基地近くのゲイバーを通じて米海軍の水兵を勧誘する計画が、より具体的に語られていました。

グループは基地や周辺施設の情報収集を始めました。数日後には、あるユーザーが「ヤンキーどもを、やつら自身の武器で打ち負かす」と書き込んでいます。米軍関係者が勧誘されたことや、軍事・核関連の情報が入手されたことを示すメッセージはありません。

ロシアの国家関連組織は、アーカイブの別の箇所にも、連絡先や自慢話の寄せ集めの中に登場します。あるユーザーは、アフリカとウクライナで戦ったワグネル関連の退役軍人に会ったと書き、その人物との協力を提案していました。

メンバーの運用セキュリティをめぐる議論では、リーダーが上級の同僚にiPhoneを使わないよう警告し、米当局は「いつでも好きなときに盗聴し、読み取り、カメラを監視できる」と主張していました。

グループは、関係者の逮捕事例も調べていました。引き渡しのリスクが低いと考えたエチオピアなどの国を経由して移動する案を話し合う一方、ドバイのような法域が米国の法的措置にさらされやすいことを嘆いてもいます。

アーカイブが終わる先月まで、グループはSleepless Threatというブランドで再始動することを話し合っていました。「最終目標は、社会運動、あるいはカルトになることだ」。上級ユーザーは4月にこう書き込み、アメリカ人がグループの思想を信じ、「頼まれなくても」貴重な情報を盗むようにすることが狙いだと説明していました。