大規模ハッキング計画で5人が起訴

米司法省は、主要企業のネットワークを標的とした世界規模のハッキング計画で共謀し、1億6000万件以上のクレジットカード番号を盗み出した罪で、ロシアとウクライナ出身の男5人がニュージャージー州で起訴されたと発表した。

司法省によると、犯人らはナスダック、セブンイレブン、JCP、ダウ・ジョーンズ、ハンナフォードを含む複数の企業のネットワークを攻撃したとされている。司法省はプレスリリースで、これらの攻撃による損失は3億ドルに上ると報告した。

ニュージャージー州連邦地方裁判所で木曜日に公開された起訴状で告発されたのは、ロシアのスィクティカルとモスクワ在住のウラジミール・ドリンクマン容疑者（32）、ロシアのサンクトペテルブルク在住のアレクサンドル・カリニン容疑者（26）、モスクワ在住のロマン・コトフ容疑者（32）、ウクライナのオデッサ在住のミハイル・ルティコフ容疑者（26）、モスクワ在住のドミトリー・スミリャネツ容疑者（29）である。

司法省によると、ドリンクマンとカリニンはネットワークセキュリティへの侵入と被害企業のシステムへのアクセスを専門としており、コトフは侵入したネットワークをマイニングしてデータを窃取することを専門としていたとされている。被告らはリティコフが提供する匿名ウェブホスティングサービスを利用して活動を隠蔽し、スミリャネツは他の共謀者によって窃取された情報を販売し、その収益を参加者に分配していたとされている。

裁判所の文書によると、5つのネットワークは2005年半ばから2012年半ばまでの約5年間にわたって侵害を受けていた。

「この種の犯罪は最先端です」と、ニュージャージー州連邦検事ポール・フィッシュマン氏は声明で述べた。「コンピュータネットワークに侵入する専門知識と能力を持つ者は、私たちの経済的繁栄、プライバシー、そして国家安全保障を脅かします。そして、この事件は、この種の詐欺がすべてのアメリカの消費者の事業コストを日々増大させているため、実際に大きな損失をもたらすことを示しています。」

カリニンとドリンクマンは、2009年にニュージャージー州で起訴され、「ハッカー1」と「ハッカー2」として、マイアミ在住のアルバート・ゴンザレス（32歳）を5件の企業データ侵害に関与した罪で起訴されていた。この中には、当時史上最大のデータ侵害とされたハートランド・ペイメント・システムズへのデータ侵害も含まれていた。ゴンザレスは現在、これらの罪で連邦刑務所で20年の刑に服している。

追加料金

ニューヨーク南部地区連邦検事局は木曜日、カリニン氏に対する2件の追加起訴状を発表した。1件はナスダックが使用する特定のコンピュータサーバーへのハッキングに関連しており、もう1件はカリニン氏と、同じくロシア人ハッカーとされるニコライ・ナセンコフ氏を、米国に拠点を置く金融機関へのハッキングを通じて銀行口座情報を盗む国際的な計画に関与させたとして起訴された。

リティコフは以前、バージニア州東部地区連邦地方裁判所で無関係の計画で起訴されていた。コトフとスミリャネツはこれまで米国で公に起訴されたことはない。

ドリンクマンとスミリャネツは、2012年6月28日にオランダを旅行中に司法省の要請により逮捕されました。スミリャネツは2012年9月7日に引き渡され、現在も連邦拘留下にあります。カリニン、コトフ、リティコフは依然として逃亡中です。

5人の被告は、他の者と共謀して複数の大手決済処理会社、小売業者、金融機関のコンピュータネットワークに侵入し、個人の個人識別情報を盗んだ疑いがある。司法省によると、彼らはユーザー名とパスワード、その他の身元確認手段、クレジットカードとデビットカードの番号を盗んだ疑いがある。

司法省によると、どのように機能したか

司法省は、攻撃者は多くの場合、SQLインジェクション攻撃を通じて企業ネットワークへの最初の侵入に成功したと主張している。ハッカーはSQLデータベースの脆弱性を特定し、それらを利用してコンピュータネットワークに侵入した。ネットワークに侵入すると、被告らはネットワーク上にマルウェアを仕掛け、さらなるアクセスを可能にするバックドアを作成したとされている。企業のセキュリティ対策によってシステムへのアクセスを失ったものの、執拗な攻撃によって再びアクセスできたケースもあった。

被告らは被害企業を何カ月もかけて狙うことが多く、司法省はセキュリティを回避しようとする動きが進む中、被告らは「辛抱強く」待っていたと述べた。