2021 年 6 月 15 日 Josh Stuifbergen 著

米国連邦捜査局 (FBI) とオーストラリア連邦警察 (AFP) を中心とした国際的な法執行機関が行なった、加工されたスマートフォン向けに専用の通信アプリケーションを開発・配布するという高度な作戦により、犯罪者の通信に使用されていた暗号化メッセージ 2,700 万件の収集に成功しました。

犯罪組織は検挙を逃れるために特殊な手段を講じていることが多くあります。たとえば、安全に通信するためだけに加工されたスマートフォンを購入することがあります。法執行機関はこれを利用し、加工されたスマートフォン用の通信ソフトウェアを販売する闇市場で特別な作戦を展開しました。そのスマートフォンでは、通話やテキストメッセージなど一般的な機能が意図的に無効にされています。その代わり、法執行機関が秘密裏に管理していた暗号化チャットプラットフォーム「An0m」がインストールされていました。犯罪者はスマートフォンを購入すると同時に、サービス利用料として半年間で利用料 1,500〜2,000 ドルを支払う必要もありました。

このアプリでは確かに広告通り暗号化された通信が提供されていましたが、通信を行うたびにメッセージのコピーがセキュリティ機関の「iBot」サーバーに配信されていました。さらにこのシステムでは、各メッセージにマスターキーが添付してあり、暗号化が解除され、内容が保存されていました。その後再び暗号化され、目的の相手に届けられる仕組みです。

加工したスマートフォンが広く購入され始めたのは 2018 年でした。この作戦では最終的に 100 か国以上の国の 300 以上の犯罪グループが影響を受け、暗号化されたスマートフォンの数は 1 万 2,000 台に上りました。

この作戦の成功には、口コミや信頼関係が大きく関わっています。An0m を制作したのは、以前暗号化された犯罪者向けチャットプラットフォームを構築していた人物です。彼らは治安当局から (減刑の見返りとして) An0mを作るように勧誘されました。そこで、すでに信頼を築いていた犯罪関係者とのつながりを利用して、そのスマートフォンを市場に送り出したのです。

「犯罪者になるな」ということ以外に、ここから学べる教訓があります。販売者との関係性やサプライチェーンへの信頼は、セキュリティ上の欠陥につながる可能性が大きい、ということです。今回の事件では、小売業者は、販売元とのこれまでの関係に基づいて製品を信じていましたが、以前のやり取りだけを基に個人を信頼する、という罠に陥りました。闇市場では信頼と評判が非常に重要です。信頼できる人脈でも、定期的に確認することが大切です。しかし問題は、セキュリティ環境におけるすべてのアップデートや変更を把握するのは難しい、ということです。SolarWinds のハッキング事件がその典型的な例でしょう。