ロシア国籍の男を米司法省が起訴、フリーランスサイト経由で8万人にマクロ悪用マルウェアを送信した疑い

要点

• 米司法省は、フリーランス仲介プラットフォームを悪用してマルウェア付きExcelファイルを送信したとして、ロシア国籍の男を起訴した。

• 被疑者は約255件の偽アカウントを使い、約8万人のユーザーに攻撃メールを送信し、数千台の端末を遠隔操作マルウェアに感染させたとされる。

• 犯行には「TVRAT」および「DarkVNC」と呼ばれる遠隔操作ツールが用いられ、認証情報や個人情報の窃取が行われていた。

• 被疑者は2025年にキプロスで逮捕されたのち米国へ身柄を引き渡され、サンフランシスコの連邦地裁へ出廷したが、本人は容疑を否認している。

• 米司法省（DoJ）は、オンラインのフリーランス仲介プラットフォームを悪用し、不正なマクロを含むExcelファイルを大量に送信して数千台のコンピューターを感染させたとして、ロシア国籍の男を起訴したと発表した。

• カリフォルニア州北部地区連邦検察局の発表によると、起訴されたのはセルジュディン・タミルラノヴィチ・アクトゥラエフ（Searzhudin Tamirlanovich Aktulaev）被告（40歳）である。同被告は2025年5月にキプロスで逮捕され、2026年8月28日に米国へ身柄を引き渡された後、8月31日にサンフランシスコの連邦地方裁判所へ初出廷した。

偽アカウント255件を悪用し8万人に攻撃メールを送信

起訴状によると、アクトゥラエフ被告は2016年から2017年にかけて、カリフォルニア州北部地区に拠点を置く著名なフリーランス雇用テクノロジー企業のプラットフォーム上で、約255件の偽アカウントを作成・運用していたとされる。被告らはこれらのアカウントを通じて、同プラットフォームの利用者約8万人に対し、悪意あるプログラムが仕込まれたExcelファイルを添付したメッセージを送信した。

メッセージを受信した利用者が添付ファイルを開き、記載された指示に従ってマクロを実行すると、インターネット経由でマルウェア（悪意のあるソフトウェア）がダウンロードされる仕組みとなっていた。

この攻撃キャンペーンにより数千台のコンピューターが感染し、米国に設置されたC2サーバー（攻撃者が感染端末を遠隔制御するための指令サーバー）と通信を行っていた。被害者の約半数は米国内に所在し、その多くが同検察局の管轄地区内に集中していたという。また、犯行に用いられたメールアカウント内の共有ドキュメントからは、数百人分の電子商取引（EC）サイトのアカウント認証情報や、PII（氏名などの個人を特定できる情報）が発見されている。

被告には、電信詐欺の共謀、保護されたコンピューターに損害を与えるプログラムの送信、コンピューター詐欺の共謀、経済的利益を目的とした保護されたコンピューターへの不正アクセス、加重個人情報窃盗の罪が問われている。

遠隔操作を可能にする2種類のマルウェア

犯行に用いられたマルウェアは、大きく分けて2種類存在することが確認されている。一つは「TVRAT」（別名「TVSPY」または「TeamSpy」）と呼ばれる遠隔操作ツールであり、もう一つは「DarkVNC」と呼ばれるツールである。いずれも感染したコンピューターを攻撃者が遠隔操作できるように設計されており、窃取されたデータはC2サーバーへと送信され、被告らによる詐欺などの犯罪行為に利用されていた。

セキュリティ各社による過去の解析によると、TVRATは正規のリモートデスクトップソフトウェア「TeamViewer」を悪用する特徴を持つ。サイバーセキュリティ企業のAvastが2017年4月に公開した解析レポートでは、Excelマクロがパスワード付きインストーラーをダウンロードし、正当なデジタル署名を持つTeamViewerの実行ファイルとともに、悪意あるDLLファイル（msimg32.dll）を展開する手法が報告されている。

この攻撃では、プログラムがライブラリを読み込む優先順位を悪用する「DLL検索順序ハイジャック」と呼ばれる手法が使われていた。正規の実行ファイル自体の署名には異常が見られないため、セキュリティチェックを回避しやすい構造となっていた。

読み込まれた不正なDLLは、約50種類のWindows API（OSの機能を呼び出すインターフェース）をフックし、TeamViewerのウィンドウや通知ダイアログが画面に表示されないよう隠蔽する。その上で、端末固有のTeamViewer IDをC2サーバーへ送信し、攻撃者はあらかじめ設定されたパスワードとIDを用いて、被害者に気付かれることなく遠隔接続を確立していた。

一方のDarkVNCは、hVNC（被害者の画面とは別にバックグラウンドで隠しデスクトップを生成して操作する技術）を備えたユーティリティである。セキュリティ企業eSentireの分析によると、同ツールは2016年11月にサイバー犯罪フォーラムで最初に宣伝されたことが確認されている。

身柄引き渡しの経緯と被告の主張

アクトゥラエフ被告に対する起訴状は2021年6月1日付で提出され、2026年8月31日の初出廷に合わせて封印が解除された。同被告は現在、連邦拘留施設に収容されている。

ロシアの国営通信社RIAノーボスチやタス通信が報じた在ニコシア・ロシア大使館の声明によると、被告は容疑を否認しており、米国による起訴の事実も知らなかったと主張している。米司法省は、起訴状に記載された内容は現時点では申し立てに過ぎず、法廷で有罪が立証されるまでは被告には推定無罪の原則が適用されると付記している。

なお、今回の攻撃で侵入経路として使われたOfficeファイルのマクロ機能について、マイクロソフトは2022年以降、インターネットから取得したファイルに含まれるVBAマクロをデフォルトでブロックする仕様に変更している。求人サイトやフリーランス仲介サイトを標的としたサイバー攻撃はその後も継続して確認されており、脅威アクターによる手口の巧妙化が続いている。