ロシア内務省は、警察がMeduzaインフォスティーラーの構築と拡散に関与したとされる3人の容疑者を逮捕したと発表しました。
木曜日に内務省のテレグラムチャンネルを通じてイリーナ・ヴォルク報道官が発表した声明には、「若いITスペシャリスト」と説明された男性3人の逮捕映像が含まれており、彼らがマルウェアの作成、配布、展開に関与したとされています。
複数の武装警官が逮捕にあたり、いずれもバールやハンマーなどの道具を使って容疑者の住居のドアを破壊して突入しました。
名前は公表されていませんが、この3人の容疑者は約2年前からMeduzaの開発に着手したとされており、これは2023年に最初に特定したSplunkなどの西側セキュリティ企業の報告と一致します。
3人全員がモスクワおよびモスクワ広域でロスグヴァルディア（国家警備隊）によって逮捕され、デバイスや銀行カード、証拠価値があると考えられるその他の品も押収されたとヴォルク氏は述べました。
「捜査活動の結果、拘束された者たちが別の種類の悪意あるソフトウェアも開発・配布していたことが判明しました」と彼女は付け加えました（ロシア語から機械翻訳）。
「それはコンピュータ情報保護ツールを無力化し、ボットネット――大規模なサイバー攻撃に使用される感染コンピュータのネットワーク――を作成するために設計されています。」
なぜこの3人が今になって逮捕されたのかについて省庁はあまり詳しく説明していませんが、声明ではカザフスタンと国境を接するアストラハン地方の組織への攻撃が本件に関連していると述べられています。
公式にはサイバー犯罪はロシアで違法とされていますが、商業的に成功している多くのグループや個人が同国に居住しています。一般的なルールとして、ロシア人を標的にしない限り、地元警察が介入することはありません。
「技術的にはサイバー犯罪はロシアで違法ですが、ハッカーがロシアや独立国家共同体の組織を標的にしない限り見逃されるという長年の了解があります」とWithSecureの上級脅威インテリジェンスアナリスト、スティーブン・ロビンソン氏は、The Registerに昨年ロシアがミハイル・マトヴェーエフを逮捕した後に語っています。
また、Recorded Futureの最近のレポートも、ロシアにおけるサイバー犯罪が変化しており、2023年以降、国家とサイバー犯罪者の関係が「受動的な容認から積極的な管理へ」と進化していると結論付けています。
研究者らは、サイバー犯罪グループが保護の見返りに国家に金銭を支払っているだけでなく、攻撃の実行やデータの引き渡しなど、クレムリンの任務を支援するために国家の支配下に置かれていると疑っています。
「この相互的な取り決めは、政治的コスト、外部からの圧力、脅威アクターの有用性に応じて緩めたり締めたりできる条件付きの『安全地帯』を生み出しています」とレポートは述べています。
「もし脅威アクターがあまりに目立つ存在になったり、十分な支援を提供しなかった場合、治安機関は正当な権限を利用して標的を摘発または嫌がらせします。このような断続的な取り締まりは、市場の統治として読むべきであり、その根絶ではありません。」
研究者らはまた、サイバー犯罪の種類と当局の寛容度には重要な違いがあると指摘しています。
たとえばランサムウェアグループは、データ仲介から大規模なサイバー攻撃まで幅広いサービスを提供できますが、Cryptexのような資金移動プラットフォームの運営者は、国家に同じ価値を提供できるとは限りません。
これら2種類のサイバー犯罪グループの例としてREvilとCryptexを挙げると、いずれもロシア国内で逮捕者が出ていますが、金融業務に関与した者への処罰の方がはるかに厳しいものとなっています。
レポートによれば、マネタイズサービスのCryptexおよび関連プラットフォームがOperation Endgameの対象となった後、ロシア当局は約100人の逮捕を発表しました。一方、ロシアから活動していたREvilのサイバー犯罪者については、執行猶予判決となったケースもあり、国内での取り締まりが明らかに緩やかであることを示しています。
Recorded Futureは「要するに、Operation Endgame後のロシアの取り締まりのタイムラインは、ロシアの脅威アクターがランサムウェア対策への対応でどこにリソースを優先したかを浮き彫りにしています。
「CryptexやUAPSへの取り締まり、Aezaのようなホスティングプロバイダーへの圧力は、国内世論や西側の監視が強い場合に行動する意志を示しています。一方、REvilの脅威アクターへの執行猶予判決のような寛大またはパフォーマンス的な結果、ContiやTrickbotの元メンバーの継続的な存在感は、協定が依然として有効であることを示しています。だからこそ、公的な行動と噂される非公開の逮捕の両方を記録することが重要なのです。」®
