Windowsの永続デバイスIDが手がかりに、FBIがサイバー犯罪集団「Scattered Spider」の容疑者を特定

要点

• 米検察当局が、高級宝飾店へのハッキング容疑で19歳のピーター・ストークス容疑者を訴追した。
• 容疑者の特定には、OSの再インストールまで変更されないWindowsの永続デバイスIDが決定的な証拠となった。
• 攻撃者はシステムの脆弱性ではなく、ヘルプデスクを欺く手法でアカウントを乗っ取っていた。
• 侵入により約77ギガバイトのデータが盗まれ、復旧などに約200万ドルの損害が発生した。
• 専門家は、同容疑者が属する集団は小規模グループの緩やかな連合体であり、逮捕による脅威終息は難しいと分析している。

リード文

米国の検察当局は公開された告訴状で、サイバー犯罪集団「Scattered Spider（スキャッタード・スパイダー）」のメンバーとされるピーター・ストークス容疑者（19歳）を訴追したと明らかにした。この捜査では、Windowsのインストールごとに割り当てられる永続的なデバイス識別子（ID）が容疑者の特定に繋がった。ストークス容疑者はフィンランドで拘束後に米国へ送還され、2026年6月30日にシカゴの連邦地方裁判所に初出廷した。

本文

告訴状によると、事件は2025年5月に発生した。攻撃者は高級宝飾品小売業者のITヘルプデスクに電話をかけ、ロックアウトされた従業員になりすましてパスワードとMFA（多要素認証：複数の方法を組み合わせて認証を行う仕組み）の設定を初期化させた。これにより、数時間のうちにIT管理者を含む3つのアカウントが乗っ取られた。

彼らは通信経路を確保するトンネリングツール「ngrok」や「Teleport」を導入し、Amazonのクラウドストレージに少なくとも77ギガバイトのデータを転送した。ランサムウェアの展開も試みたが、企業のセキュリティチームに阻止された。しかし、攻撃者は暗号資産（電子的に取引される決済手段）で800万ドルの身代金を要求。企業は支払わなかったが、インシデントの調査や復旧作業などで約200万ドルの被害が発生した。

今回の侵入について元記事は、脆弱性ではなくヘルプデスクの対応が隙となったことを指摘している。対策として、初期化の前に登録済みの電話番号へコールバックして本人確認を行う手順などが有効であり、FIDO2などの強力なMFAを導入していても、ヘルプデスクが電話一本でリセットを許してしまえば防げないと説明する。

FBIがストークス容疑者（オンライン名「Bouquet」、米国とエストニアの二重国籍）を追跡できたのは、ngrokアカウント作成に使われたデバイスを特定したことによる。MicrosoftはFBIに対し、OSの再インストールまで維持される永続IDである「グローバルデバイス識別子（g:6755467234350028）」を提供した。

この識別子を持つデバイスが、ngrokアカウント作成と同分（2025年5月12日19時21分UTC）に登録ページを訪れ、その約3時間後には同じプロキシ（接続元を隠す中継サーバー）を経由して被害企業のウェブサイトへアクセスしていた。

さらに、このデバイスIDは、容疑者が使用していたSnapchatやApple、Facebookのアカウントがログインした際のIPアドレスや日時とも一致した。2024年から2025年にかけてエストニアのタリン、ニューヨーク、タイからアクセスされた記録は、米国務省の渡航記録とも合致した。

容疑者はVPN（通信内容を暗号化して安全な経路を作る技術）などで攻撃を隠していたが、自身の行動までは隠せていなかった。検察によると、容疑者はSnapchatに現金や高級時計、ダイヤモンドのチェーンのほか、エストニアの警察署の写真を投稿し、「連邦捜査局（feds）は自分を特定できていない」と挑発していたという。

容疑者は特定されたが、この逮捕が脅威の終息に直結するわけではないとされる。セキュリティ企業「Group-IB」の研究によると、「Scattered Spider」は単一の組織ではなく、5人以下の独立した小さなセルがチャットやツールを共有する緩やかな連合体であるためだ。