ボットネットのログから詐欺師のウェブバンキング認証情報を抽出したコードを書いたロシア人が米国で懲役8年の判決を受ける

ロシア人のプログラマーが、被害者の銀行口座をハッキングして資金を流出させた大規模なサイバー犯罪ネットワークに関与したとして、アメリカで懲役8年の判決を受けた。

アレクサンドル・ブロフコ（36歳）は2019年にチェコ共和国で逮捕され、ロシアのハッキング組織に関する長期にわたる捜査の後、アメリカに身柄を送還された。米国政府によると、彼は「ロシア語を話すサイバー犯罪者が犯罪に使うツールやサービスを集め、交換するために設計された、エリート向けのオンラインフォーラムのメンバー」だった。

ブロフコ氏はロシアの中流家庭に生まれ育ち、2006年にシステム工学の学位を取得した。しかし、裁判所の文書[PDF]によると、彼は「会社の経営陣との意見の相違」を理由に印刷・広告会社で職を失ったという。

その後、彼は「インターネットトラフィックを特定のウェブサイトに誘導する手伝いを求めていた」元同級生のために仕事をした。これがサイバー詐欺の世界への入り口となった。ブロフコ氏は、この仕事に恥じていたものの、他に同等の給料の仕事を見つけることができなかったと主張している。

ブロフコは、この計画の首謀者であるアレクサンダー・トヴェルドクレボフによって名指しされたことはほぼ確実である。トヴェルドクレボフは2007年にロシアから移住し、米国市民権を取得し、カリフォルニア州に居住していた。彼は2017年に逮捕され、推定50万台の感染コンピューターからなるボットネットを運営していたとして9年の懲役刑を言い渡された。2018年のブロフコの起訴状では、「AT」が当局に提出した証拠が繰り返し言及されている。

犯行の手口はこうだった。トヴェルドクレボフは、ハッキングされた数千台のPCにアクセスした。これらのPCはすべてマルウェアによって遠隔操作されており、これらのPCからユーザー名とパスワードも収集されていた。ブロフコは、これらのボットネットのログを精査し、マルウェアによって吸い上げられたインターネットバンキングの認証情報を探す任務を負っていた。これらの認証情報は後に、共謀者たちによって不正送金に使用され、アメリカ人の口座から数百万ドルが盗み出された。

ブロフコ容疑者は、このデータを自動的に分析するソフトウェアを作成した。また、手動でデータを検索し、銀行口座のユーザー名とパスワードの組み合わせがまだ有効かどうかをテストした。検察は、ブロフコ容疑者が標的とする価値のある人物を特定するために、人々の口座の残高を記録していたと主張している。

品質チェック

「コンピューターコードがデータを効果的に解析できなかった場合、ブロフコはコンピューターによる自動化を補い、データの手動検索を行った」と起訴状[PDF]には記されている。

ブロフコの2つ目の役割は、特定した被害者情報の品質チェックを行うことでした。例えば、彼は特定した盗まれたユーザー名とパスワードを使って被害者のオンラインバンキング口座へのログインを試みました。ログインできれば、ユーザー名とパスワードの組み合わせがまだ有効であることが分かります。

ブロフコ氏はその功績に対し、トヴェルドクレボフ氏から年間約7万ドルの報酬を受け取っていた。弁護士によると、ブロフコ氏はその金を妻と息子の生活費に充てていたという。また、ブロフコ氏は他のサイバー犯罪者に自身のサービスを販売し、オンライン犯罪ネットワークを通じて自らも銀行の認証情報を販売しようとしていた。警察がブロフコ氏の自宅を家宅捜索した際、大量の機器が押収され、それらはブロフコ氏に対する証拠として利用された。

ブロフコ被告は2月に米国で電信詐欺と銀行詐欺の共謀罪で有罪を認め、アクセスデバイス詐欺の共謀罪という2つ目の容疑は当局との司法取引により取り下げられた。

懲役8年と保護観察5年を科せられる可能性があったにもかかわらず、ブロフコは軽い処罰で済んだ。彼の罪に対する量刑勧告は20年から24年だった。また、正式な量刑では5万ドルから2億ドルの罰金が勧告されていたが、ブロフコにはわずか100ドルの罰金が科せられた。

判決の公式発表では、ブロフコ被告は「1億ドル規模のボットネット陰謀」に関与していたと主張されているが、この数字には少々疑わしいところがある。この数字は、ブロフコ被告のコンピュータ機器に保存されていた20万台のデバイスとPCの詳細に、デバイスへの不正アクセスの罪で法律で定められている最低金額である500ドルを掛けたものだ。

お金の問題

そのため、弁護士は、政府が用いた1億ドルの損失額の算定は「過剰かつ恣意的であり、重視すべきではない」と主張した。弁護士はまた、アメリカ量刑委員会がそのような算定は「犯罪の重大性を大幅に誇張している」と指摘していると述べた。

この事件のより大きな問題は、システムを実際に操作したトヴェルドクレボフよりも、ブロフコ氏の方がより大きな経済的損失を被ったと非難されている点だと、ブロフコ氏の弁護士は述べている。これは、トヴェルドクレボフ氏が「逮捕時にたまたまコンピューターに保存されていた盗難データの量が少ない」というだけの理由で、ブロフコ氏に過度の懲役刑が科されるべきではないという主張であり、最終的に裁判官もこれに同意し、トヴェルドクレボフ氏の9年に対し、ブロフコ氏には8年の懲役刑が言い渡された。

バージニア州東部の連邦検事、ザカリー・ターウィリガー氏は、この判決について次のように述べています。「アレクサンドル・ブロフコは、プログラミングスキルを駆使して、盗まれた個人情報と金融情報の大規模な窃盗と悪用を企み、1億ドルを超える損害を意図して犯行に及んだ。サイバー犯罪がかつてないほど深刻な脅威となっている中、当局はこれらの犯罪者を追及し、地域社会を守ることに尽力している。」®