32nd ACFE Global Conference : Closing General Session

Closing General Session: Conversation with a Fraudster/ Brett Johnson氏

Johnson氏が立ち上げたサイバー犯罪コミュニティー「ShadowCrew」は、現在ダークウェブ内にあるサイバー犯罪のコミュニティーの先駆けとも言える。Johnson氏は、「ShadowCrew」でサイバー犯罪者同士が協力できるような仕組みを作った。このサイトは2004年にForbes誌の表紙を飾るほど世間の耳目を集めた。20年以上サイバー犯罪に手を染めてきたJohnson氏はアメリカの最重要手配犯として指名手配され、2005年に逮捕された。Johnson氏は罪を償い、現在はFBIやアメリカの企業に様々な助言を行っている。

Johnson氏は冒頭、「俺が初めて罪を犯したのは10歳の時だった。おもちゃを万引きしたんだ」と厳しかった幼少期を振り返った。両親が離婚して以来母親、妹と共に暮らしていたが生活は貧しかったという。

「俺は10歳、妹は9歳だった。母親はしょっちゅう外に遊びに出かけていた。俺たちを連れて行って車で待たせることもあったが、たいてい食べる物のない家に置き去りにされていた。ある日妹がポークチョップを持っていて、『どこで手に入れたんだ？』と聞くと、『盗んだのよ』と答えたんだ」。

帰宅した母親は兄妹が盗んできた物を見て、「どこから持ってきたの？」と聞いた。Johnson氏の妹が怒りながら「盗んできた」と答えると、母親は兄妹をとがめるどころか、「どうやったのかママに見せて」と言い兄妹に万引きさせるようになったという。

不遇の子供時代を過ごした兄妹だが、成人すると異なる道を歩み始める。「俺の妹は良き教師であり良き市民だが、俺は犯罪を重ねてしまった」と、オークション詐欺や保険金詐欺など自身が犯した様々な罪について言及した。Jonson氏は、「ShadowCrew」を立ち上げて2005年に逮捕され、その後刑務所を脱走して再び逮捕された。釈放後はPCを使う仕事に就くことを禁じられたため、生活の苦しさから他人のクレジットカード情報をダークウェブで入手して食料品を買い、再び収監されることになった。立ち直れたのは妻や保護観察官の支えがあったからだと、目を潤ませながら感謝の言葉を述べた。

Johnson氏は大手オークションサイトeBayのサービスが始まった頃、人気のある玩具の写真を投稿して落札させ、偽物を送り付ける詐欺を行っていた。落札者は怒るが、やがて諦めるという。「俺がこの犯罪で学んだことは、被害者を長期間待たせれば、やがて両手を上にあげて立ち去っていくということだ。被害者は二度と連絡してくることはない。」

サイバー犯罪は他の犯罪と大きく異なる点があるという。それは、犯人が被害者と直接対面する必要がないことだ。「犯人は、ネット上の自分と生活している自分とを分けることができる。オンラインでは様々な悪事を働き、実生活では『俺は善良な人間なんだ』と言うことができる。これが緩衝材となり、犯罪が繰り返される」と、Johnson氏はサイバー犯罪特有の問題点を指摘した。

またサイバー犯罪を成功させるには、「データを集める」、「犯罪を実行する」、「現金化する」という３つの要素が必要になるという。３つ全てに精通した犯罪者はなかなかいないが、どれか一つに精通した犯罪者はいる。そこでダークウェブが必要になる。「違法な物品や個人情報、銀行口座情報を売るマーケットプレイスもあるし、情報交換のためのフォーラムもある。これらは他の犯罪者とつながるために存在している。データを集める人物、犯行に及ぶ人物、現金化する人物を集めてサイバー犯罪を行うんだ」と、ネットを介してつながるサイバー犯罪者の脅威を訴えた。

さらに、「世界中のルーターの41%は初期設定のパスワードのままだ」と指摘し、企業のサイバーセキュリティー対策をもっと強化するべきだという。

「人は外出する時には玄関に鍵をかけるのに、企業のサイバーセキュリティーについてはサイバー攻撃を受けるまで何もしていない。IT部門の担当者が『わが社にはこのツールが必要だ』と言っても、経営幹部が『ああ・・・それを買うのは今じゃないよ』と一蹴している。ビットコインに投資する前にもっとセキュリティーを強化するべきだ」と厳しい口調で訴えた。

また最近ランサムウエア攻撃が相次いでいることを受けて、3年前に実際にあった事例を紹介した。「あるメディカルサプライヤーから、ランサムウエア攻撃を受けたと相談があったんだ。俺はバックアップをとっているか尋ねた。すると『もちろんとっているよ、だけどそれもロックされているんだ』という答えが返ってきた」と、バックアップを適切に保管しておくことの重要性を訴えた。

最後にJohnson氏は、「サイバー犯罪者は、サイバー攻撃に使うツールを複数持っている」としたうえで、「企業は防衛のために様々な防衛手段を備える必要がある。一つの対策では問題を解決できない」として、従業員の認証に生体認証を導入している企業があることに触れ、「複数の対策を施すことでより効果的に防衛できる。積極的に対策を講じていくべきだ」としている。

＊ACFEは、有罪判決を受けた不正実行者に報酬を支払っていません。