私は、IGCIでアトリビューション（サイバー攻撃者の特定）などを担ってきましたが、基本的に犯罪グループは「ドット・オニオン」にいます。ただ、ダークウェブでは匿名ですが、時々そこからIPアドレスに紐づけられることがあり、摘発に至る場合もあります。ただ、それで即逮捕できるかというと、防弾ホスティングの問題などが絡み、結局IPアドレスから先に進めないということもあります。
※ドット・オニオンというのは、先に述べたダークウェブの中のサイト群のこと。「co.jp」「.com」のように、ダークウェブでは「.onion」が使われる。防弾ホスティングというのは、捜査機関から情報開示請求があっても突っぱねることを売りにしているサーバー。犯罪者に人気が高い。
──ロシアではランサムウェア攻撃集団「ロックビット3.0」などが有名ですが、世界的に攻撃をしている人たちは限定的でしょうか。
ある攻撃グループを脱退して違うチームに入るケースや、一般の会社と同じように、グループ内であるチームだけが抜けて新しい会社を作ったりと、入れ替わりが激しいですね。
──ダークウェブでアトリビューションされ、そこで集まった情報は政府へ提供されるのですか？
はい。各国に情報を提供していくのは、インターポールで一貫してやってきたことです。しかし、犯人に関する情報を提供しても、あまり動いてくれないんです。例えば僕が1000件の疑わしいIPアドレスを見つけたので、ある国に対応を要請しても、取り合ってくれない。
国によってはテロの制圧や、人質立てこもり事件に時間を割いており、サイバー犯罪にも手が回るというのは、全体から見れば少数です。そこに1000件のIPアドレスを渡されても、どこから手を付けていいかわからない、という感じです。
どうしようか迷うところですが、餌を埋めておくんです。
どういうことかというと、自国に関係のあるアドレスをこちらが事前に見つけていることは言わずに「この辺のデータから探してみたらどうだろう？」と問いかけ、リードします。1億件の中から1000件を探すとなると途方にくれますが、2000件の中から1000件を探すのだったらモチベーションを保って取り組んでもらえます。
そうすると自国に報告して捜査に動く。逆に言うと、そこまでしないと動いてくれないのです。
