1,500万ドル相当のビットコインを脅し取ったランサムウェア犯が有罪を認めました

ランサムウェア攻撃により、米国企業が復号鍵の対価としてビットコインを支払うことを余儀なくされた

連邦検察当局の主張によると、カレン・セロボビッチ・ヴァルダニャンに関連する「Ryuk」ランサムウェア攻撃キャンペーンの際、米国の被害者から1,500万ドル相当以上のビットコインが流出したという。 ウクライナから身柄を引き渡された34歳のアルメニア国籍の被告は、2019年11月から2020年4月にかけて行われたサイバー攻撃への関与を認め、7月8日に共謀罪およびコンピュータ詐欺罪で有罪を認めました。

侵入者がネットワークに侵入した後、被害者はファイルの暗号化、ワークステーションの機能停止、企業データへのアクセス不能といった事態に直面しました。このグループは数百台のサーバーやコンピュータに「Ryuk」を拡散させ、その結果生じた混乱を利用して、組織に対し仮想通貨での復号ツールの購入を強要しました。連邦検察当局は7月9日のプレスリリースで次のように説明しました：

「この手口の一環として、被害企業からは、データへのアクセスを回復するための復号鍵と引き換えに、身代金が強要されました。コンピュータシステムには、仮想通貨の一種であるビットコインでの身代金支払いを要求する身代金要求メッセージが表示され、被害者がサイバー犯罪者と連絡を取るためのメールアドレスが記載されていました。」

支払い手順では、被害を受けた組織に対しビットコインでの送金を指示するとともに、攻撃者との電子メールによる連絡手段を確立する内容でした。このプロセスにより、共謀者たちはアクセス不能に陥った被害者と交渉し、送金を確認し、資金がグループが管理するアドレスに到達した後、アクセスを復旧させるための鍵を提供することが可能となりました。

標的となった企業には、ネットワークの制御権を取り戻すために200ビットコインを支払ったミシガン州の企業が含まれていました。支払いが完了した時点で、その金額は110万ドルを超えていました。その他の事件には、オレゴン州ウィルソンビルのテクノロジー企業や、2020年2月に攻撃を受けたテキサス州の学校などが含まれます。

9月の量刑判決に先立ち、連邦裁判所で有罪答弁に基づき賠償条件が決定

検察側によると、この作戦で得た仮想通貨の収益は合計約1,610ビットコインに上ります。押収されたビットコインは取引時点で1,500万ドル以上の価値がありましたが、プレスリリースには完全な被害者リスト、ウォレットの履歴、個々の攻撃に関連する支払いの内訳は記載されていませんでした。

ポートランドの大陪審は2024年2月22日、ヴァルダニャン被告を共謀罪、コンピュータ詐欺罪、および恐喝罪で起訴しました。今回の司法取引により、共謀罪およびコンピュータ詐欺罪は解決となり、合意に基づき被告は110万ドル以上の賠償金を支払うことが義務付けられました。連邦検察官は次のように記しています：

「ヴァルダニャン被告は共謀罪で懲役5年、罰金25万ドル、保護観察3年、コンピュータ詐欺罪で懲役10年、罰金25万ドル、保護観察3年の可能性に直面しています。 ヴァルダニャン被告に対する量刑判決は、2026年9月22日に米国連邦地方裁判所の裁判官によって言い渡される予定です。」

科される可能性のある刑罰には、各罪状ごとに個別の懲役刑、罰金、保護観察が含まれます。米国連邦地方裁判所の裁判官は、2026年9月22日に、司法取引合意書、損害賠償義務、適用される連邦量刑ガイドライン、および公判前に提出されたその他の資料を検討した上で、量刑を決定する予定です。