Scattered Spiderハッカー、SIMスワッピングによる暗号通貨窃盗で懲役10年、1,300万ドルの賠償命令

2025年8月21日Ravie Lakshmananデータ漏洩 / サイバー犯罪

悪名高いサイバー犯罪集団Scattered Spiderの20歳のメンバーが、米国で一連の大規模ハッキングおよび暗号通貨窃盗に関連して懲役10年の判決を受けました。

Noah Michael Urbanは、2025年4月に電信詐欺および加重身分盗用に関連する罪を認めました。Urbanの判決については、BloombergやジャクソンビルのニュースメディアNews4JAXによって報じられました。

さらに、連邦刑務所での120か月の服役に加え、Urbanには3年間の保護観察が課され、被害者に1,300万ドルの賠償金の支払いが命じられました。セキュリティジャーナリストのBrian Krebsに共有された声明の中で、Urbanはこの判決を不当だと述べています。

Urbanは、Sosa、Elijah、King Bob、Gustavo Fring、Anthony Ramirezなどの別名でも知られ、2024年1月にフロリダ州で米国当局により、2022年8月から2023年3月の間に電信詐欺および加重身分盗用を行ったとして逮捕されました。これらの事件により、少なくとも5人の被害者から少なくとも80万ドルが盗まれたと米国司法省（DoJ）は述べています。

検察によると、Urbanと共謀者たちはSIMスワッピング攻撃を行い、被害者の暗号通貨アカウントを乗っ取り、デジタル資産を略奪しました。

その後11月、司法省は、UrbanおよびScattered Spiderの他の4人のメンバーに対して、ソーシャルエンジニアリング技術を使って米国内の企業従業員を標的とし、企業ネットワークに侵入して機密データを盗み、数百万ドル相当の暗号通貨を不正に取得したとして、刑事告発を公開しました。

起訴されたメンバーの一人であるTyler Robert Buchananは、昨年6月にヨーロッパの国で逮捕された後、2024年4月にスペインから米国に送還されました。

この動きは、Scattered Spiderが他の脅威グループであるShinyHuntersやLAPSUS$と提携し、新たなサイバー犯罪同盟を結成したタイミングで起きました。このグループは、The Comと呼ばれるより広範な英語圏のサイバー犯罪集団と関連しており、ソーシャルエンジニアリング、認証情報の窃盗、SIMスワッピング、初期アクセス、ランサムウェア展開、データ窃盗、恐喝攻撃などの実績があります。

「Scattered Spiderは、緊急性を生み出し、メディアや業界の注目を集め、情報漏洩への恐怖を煽り、被害者に迅速な支払いを迫る戦術に歴史的に依存してきました」と、ZeroFoxのインテリジェンス担当副社長Adam DarrahはThe Hacker Newsに語っています。

「タイミングを計った情報漏洩、カウントダウンによる脅迫、セキュリティ企業への挑発は、彼らの常套手段です。彼らは志を同じくする広範なネットワークとつながっており、より多くのツール、データ、インフラへのアクセスを得て、その効果を倍増させています。法執行機関による取り締まりなど外部からの圧力が高まると、グループ同士が協力するのをよく目にします。生き残るために、これらのグループは統合する必要があり、その結果、より多様で潜在的に危険な合同作戦が生まれるのです。」

先週Scattered Spiderのプロファイルを公開したサイバーセキュリティ企業Flashpointは、この金銭目的のハッキンググループが特定の業界を選び、その業界内の多くの組織を短期間に攻撃する「波状攻撃」アプローチを取っていると述べています。

「Scattered Spiderが用いる戦術は、システムや技術的な脆弱性だけでなく、人を標的とすることでセキュリティプログラムの弱点を突く能力を示しています」と同社は述べています。「彼らが行うソーシャルエンジニアリング、ビッシング、スミッシング、MFA疲労攻撃は、最先端の技術的防御でさえも人間の欺瞞によって回避されうることを証明しています。」