マスクなどの有名人のアカウントを悪用したイギリスのハッカーが逮捕され、裁判所は400万ポンドの暗号資産の返還を命じた。

2020年、X上で大量の有名人アカウントがハッカーによって乗っ取られ、暗号資産を騙し取る事件が発生し、当時は世界のテクノロジーと政治圈を驚かせました。その年、まだTwitterと呼ばれていたXプラットフォームには、大量の有名人を装った奇妙なメッセージが突然現れました。アメリカの元大統領オバマからTSLのCEOマスク、さらにアップルやウーバーなどの企業の公式アカウントまでもが同時にファンに対してビットコインを転送すれば倍返しが得られるといった詐欺のメッセージを発信しました。一見、荒唐無稽な投稿に見えましたが、短時間で数千人の信じ込んだユーザーから送金が行われました。この事件の背後には、イギリスのリバプール出身で、わずか26歳のジョセフ・ジェームズ・オコナーがいます。現在、彼は逮捕され、イギリスの裁判所から被害者に約400万ポンド相当のビットコインを賠償するよう命じられています。

Xの社員証を騙し取るために、ソーシャルエンジニアリング手法を使ってビットコインを盗む

オコナーはネット上でPlugwalkJoeという名前で活動しており、彼は一群の若い仲間と共にソーシャルエンジニアリング手法を利用して、Twitter内部の多くの従業員からログイン認証情報を騙し取ることに成功しました。バックエンドにアクセス権を取得した後、彼らはXプラットフォームの中でごく少数の人だけが操作できる内部コントロールパネルに入ることができ、その後直接セレブのアカウントのパスワードをリセットし、ツイートを送信しました。わずか2日間で、このハッカー集団は130以上のアカウントを操作し、そのうち45のアカウントが詐欺メッセージの発信に使用されました。当時、全世界で3億5000万以上のユーザーがこれらの投稿を目にする可能性があり、多くの人々がセレブが何らかの慈善性のリターンプログラムを推進していると誤解し、罠に落ちてしまいました。

オンラインゲームを利用して仲間を呼び寄せて詐欺を行う

ジョセフ・ジェイムズ・オコナーは、ツイッターを利用して犯罪を犯した際、ハッカーが指定したウォレットに426件の送金を行い、合計で12.8枚のビットコインを蓄積しました。当時の価格換算で約11万ドル、現在の価値は120万ドルを超えています。しかし、アメリカの調査機関がオコナーの資産を追跡したところ、このハッカーの収益はこの有名人詐欺だけにはとどまりませんでした。彼は他の若者たちとオンラインゲーム「コール オブ デューティ」で知り合い、ハッカーグループを結成し、複数のターゲットに対して継続的に侵入を仕掛け、身代金を要求したり、暗号資産を盗んだりしていました。イギリスの王立検察庁は、調査チームが彼の電子ウォレットでさらに多くの違法所得を追跡し、合計で42枚のビットコインとその他のデジタル通貨を押収し、その総額は約410万ポンドで、約540万ドルに相当すると指摘しました。

事件発生後、オコナーは母親が住むスペインに逃げましたが、スペインの警察は2021年に彼を逮捕しました。その後、スペインの最高裁判所は、被害者と重要な証拠がすべてアメリカにあるため、アメリカ司法省が最も適切な審理の権限を持つと裁定し、オコナーはアメリカに引き渡されました。2023年、彼はアメリカの裁判所でコンピュータ侵入、電気通信詐欺、恐喝などの罪を認め、5年の懲役刑を言い渡されました。

法院は400万ポンド相当の暗号資産を没収し、賠償に充てることを決定しました。

オコナーは英国で刑事裁判を受けていないが、英国のロイヤルプロセクションは民事請求手続きに基づいて彼の暗号資産の回収を求めている。検察官のアドリアン・フォスターは、司法制度の目的は単に罰することだけでなく、犯罪の利益を阻止し、被害者の損失を回復することにあると強調した。彼は、当事者が英国で刑事有罪判決を受けていなくても、当局にはハッカーが不法に得た利益を享受できないようにする義務があると述べた。先週、裁判所はオコナーの資産の価値を約410万ポンドと正式に認定し、これらの資産は全て押収され、被害者への補償に使用される。

この事件は、大規模なソーシャルプラットフォーム自体のセキュリティの脆弱性を明らかにするだけでなく、ソーシャルエンジニアリングが企業内部管理に対する脅威を浮き彫りにしました。ハッカーは技術的な防壁を突破するのではなく、人間の弱点を突いて、従業員に誤って権限を渡させ、最終的にプラットフォームの歴史の中で最も深刻なセキュリティ災害の一つを引き起こしました。X (Twitter) は、当時、高リスクのユーザーが再度操作されるのを防ぐために、複数のアカウントを緊急に凍結せざるを得ませんでした。その後、同社の内部レビューレポートでは、バックエンドの権限管理が過度に集中しており、従業員教育が不十分で、多要素認証の対策が不十分であるため、攻撃者が容易に侵入できたことが指摘されました。

この事件は、世界中の大手テクノロジー企業が内部者の権限管理を強化し、企業のソーシャルエンジニアリング攻撃に対する防御能力を再評価するきっかけとなった。

この記事は、マスクなどの著名人のアカウントを盗用したイギリスのハッカーが逮捕され、裁判所が400万ポンドの暗号資産を返還するよう命じたことについて最初に登場したもので、リンクニュースABMediaに掲載されています。