ポーランドのサイバー犯罪対策中央局（CBZC）は、SIMスワップ（被害者の電話番号を第三者が不正に乗っ取る行為）攻撃を用いて数百万ドル相当の暗号資産を盗み出したとされる犯罪グループのメンバー4人を逮捕しました。この捜査は、米連邦捜査局（FBI）および国土安全保障捜査局（HSI）の支援を受けて行われました。容疑者らは、通信事業者と提携する企業のシステムに侵入し、被害者の電話番号を乗っ取ることで、暗号資産取引所のアカウントから資産を流出させていたとされています。国際的な捜査機関の連携による今回の摘発は、Web3業界におけるセキュリティ対策の重要性を改めて浮き彫りにしています。
共同捜査による犯罪グループの摘発
ポーランドのサイバー犯罪対策中央局（CBZC）は、米国の連邦捜査局（FBI）および国土安全保障捜査局（HSI）と協力し、暗号資産を標的とした犯罪グループのメンバー4人を逮捕しました。このグループは、SIMスワップ攻撃を実行し、数百万ドル（数千万ポーランドズウォティ）規模の資産を不正に取得・資金洗浄していた疑いが持たれています。
逮捕された4人は現在、公判前拘留されており、組織的犯罪グループの運営やコンピュータシステムへのハッキングによる窃盗、資金洗浄などの罪で最大25年の禁錮刑に処される可能性があるとされています。捜査はクラクフ地方検察庁の監督のもとで進められており、国際的な連携が捜査の進展に大きく寄与したと見られます。
SIMスワップ攻撃の手口と資産流出の仕組み
捜査当局の発表によると、この犯罪グループはブルートフォース（総当たり）攻撃のような強制的なハッキングではなく、主にソーシャルエンジニアリング（人間の心理的な隙やだましを利用して情報を盗み出す手法）を用いて、通信事業者と提携する企業のITシステムへ侵入したとされています。
さらに、専門的なソフトウェアを使用して従業員のメールアカウントへのアクセス権を取得し、これを足がかりに被害者の電話番号を複製または乗っ取る「SIMスワップ」攻撃を実行していました。
電話番号やSMS、メールの制御権を握ったグループは、パスワードの変更や2要素認証（2FA）を突破し、被害者の暗号資産取引所のアカウントに不正アクセスして資産を流出させていたとされています。流出させた資産は、国内外の多数の銀行口座や決済プラットフォーム、多通貨デジタルウォレットなどを経由して速やかに資金洗浄されていたことが判明しています。
業界におけるセキュリティ上の重要性
今回の事件は、電話番号やSMSを用いた2要素認証（2FA）の脆弱性を突く「SIMスワップ」の脅威を改めて示すものとなりました。多くの暗号資産取引所や金融サービスにおいて、アカウントのセキュリティ対策としてSMS認証が広く利用されていますが、通信事業者側のシステムや人的な脆弱性を突かれることで、二段階認証が突破されるリスクが指摘されています。
ビジネスパーソンや暗号資産ユーザーにとっては、SMS認証だけに依存せず、より強固な認証方法（認証アプリやハードウェアセキュリティキーなど）を採用するなどの対策が推奨されます。また、国際的な捜査機関が緊密に連携して摘発に乗り出したことは、国境を越えるサイバー犯罪に対する法執行機関の包囲網が強化されていることを示しています。
ポイント
- ポーランド警察（CBZC）が、FBIおよびHSIの支援を受け、SIMスワップによる暗号資産窃盗グループのメンバー4人を逮捕しました。
- 容疑者らは通信事業者と提携する企業のシステムにソーシャルエンジニアリング等で侵入し、被害者の電話番号を乗っ取って暗号資産取引所のアカウントを掌握していました。
- 被害額および資金洗浄された額は数千万ポーランドズウォティ（数百万ドル相当）に上るとされ、容疑者らは最大25年の禁錮刑に直面しています。
- 電話番号やSMS認証に依存するセキュリティの脆弱性が改めて浮き彫りとなり、より強固な多要素認証（MFA）の導入など、業界全体でのセキュリティ対策の重要性が注目されます。