当局が大規模ランサムウェア攻撃を助長していた「First VPN」のインフラを差し押さえ
TL;DR
当局が大規模ランサムウェア攻撃を助長していた「First VPN」のインフラを差し押さえ
デジタルアンダーグラウンドが大きな打撃を受けました。フランスとオランダの当局が主導し、世界各国のパートナーが協力した多国籍合同捜査により、10年以上にわたって世界で最も危険なサイバー犯罪組織の主要な神経系として機能していたVPNサービス「First VPN」が遂に停止されました。
この作戦は単なるウェブサイトの閉鎖にとどまらず、そのバックボーンを解体するものでした。過去10年間のユーロポール（欧州刑事警察機構）による主要なサイバー犯罪捜査を追ってきた人なら、至る所でFirst VPNの痕跡を目にしてきたはずです。これは、ネットワークを内部から破壊する際に、自身の存在を隠蔽し続けたい悪意ある攻撃者にとっての「定番ツール」でした。
FBIも容赦はありません。彼らは、悪名高い「Avaddon」グループを含む少なくとも25のランサムウェア組織が、このサービスに依存していたことを確認しました。First VPNは、ネットワーク侵入、認証情報の窃取、大規模なDDoS攻撃のための「防弾（bulletproof）」経路を提供することで、犯罪者が被害者のネットワーク内に数ヶ月間潜伏することを可能にし、その間ずっと彼らの真の所在地や技術的な足跡を隠蔽していました。
影の中で過ごした10年
2014年以来、First VPNは10年間の成功によって培われた傲慢さとも言えるレベルで運営されてきました。彼らはGoogleやSNSで広告を出すことはありませんでした。その代わり、Exploit.inやXSS.isといったロシア語圏のダークウェブフォーラムに潜伏し、ボットネット運営者やダークウェブの詐欺師に向けて直接マーケティングを行っていました。彼らは一般ユーザーにプライバシーを売っていたのではなく、最高額の入札者に「免責」を売っていたのです。
Industrial Cyberが指摘するように、このプラットフォームはスピードとステルス性を重視して構築されていました。高速なデータ流出から、大規模なランサムウェア攻撃の前段階となる静かで忍耐強い偵察活動まで、あらゆることを処理できるように設計されていたのです。
技術的なシェルゲーム
彼らはどのようにしてこれほど長く隠れ続けることができたのでしょうか？それは、インフラを複雑に入れ替える「椅子取りゲーム」のような手法によるものです。このサービスは、27カ国にまたがる32の出口ノード（エグジットノード）を維持していました。これは、最も執拗な捜査官でさえも翻弄するように設計された分散型ウェブでした。
彼らの技術的なセットアップは、ネットワーク防御担当者にとって頭痛の種でした：
- プロトコルの多様性: OpenConnectとWireGuardをサポートし、クライアントに標準的で信頼性の高いトンネリングを提供していました。
- トラフィックの難読化: これが最大のポイントです。VLESSプロトコルを統合することで、悪意のある大量のトラフィックを標準的なHTTPSリクエストに見せかけ、ディープパケットインスペクション（DPI）ツールをすり抜けていました。
- グローバルなリーチ: 27カ国に分散した32の出口ノードにより、セキュリティチームがブラックリストに登録するよりも速くIPアドレスをローテーションさせることができました。
- ダークウェブとの統合: エコシステム全体をアンダーグラウンドのフォーラム内に限定することで、審査を受けた高レベルの脅威アクターのみがサービスにアクセスできるようにしていました。
このユーロポールが支援した摘発は、戦略の根本的な転換を意味します。法執行機関は、個々のランサムウェア攻撃を追いかける「モグラ叩き」のアプローチから脱却しつつあります。その代わりに、「Ransomware-as-a-Service（サービスとしてのランサムウェア）」モデル全体を可能にしているインフラそのものを標的にしているのです。
その後：これから何が起こるのか？
これらのサーバーの差し押さえは、宝の山です。捜査当局は現在、膨大なフォレンジックデータのキャッシュを精査しており、FBIが特定した25の組織の全貌が明らかになると期待されています。公式のIC3アドバイザリーによると、こうしたサービスを解体することこそが、犯罪組織の活動ペースを真に阻害する唯一の方法です。
| 特徴 | 詳細 |
|---|---|
| 運用期間 | 2014年 – 2026年 |
| 関連するランサムウェアグループ | 少なくとも25グループ |
| グローバルな拠点 | 27カ国に32の出口ノード |
| 主なマーケティングチャネル | Exploit.in, XSS.is |
| サポートされていた主要プロトコル | OpenConnect, WireGuard, VLESS |
この作戦は、フランス、オランダ、ウクライナ、イギリス、スイス、ルクセンブルクの法執行機関が関与する物流上の傑作でした。複数の管轄区域で同時にサーバーを攻撃することで、運営者がドライブを消去したりデータを移動させたりする前に、サービスの指揮・統制能力を効果的に無力化しました。
事態が収束するにつれ、FBIによるこれらの利用パターンの確認は、ITセキュリティチームにとって厳しい警告となります。もしあなたの組織が従来の境界防御に依存しているなら、こうした難読化ツールを使いこなす攻撃者に対して、実質的にドアの鍵を開けっ放しにしているようなものです。
First VPNの摘発は、確かに勝利です。しかし同時に、犯罪の手口が絶えず進化していることを思い出させるものでもあります。犯罪グループが影で活動することを可能にするインフラを剥ぎ取ることで、法執行機関はサイバー犯罪のコストとリスクを大幅に高めています。今のところ犯罪者たちは混乱していますが、次の「First VPN」を探す動きはすでに始まっています。いつものことですが、警戒こそが唯一の真の防御なのです。
