本報告書は、ロシアによるウクライナ侵攻という状況下で、ロシアを拠点とする脅威アクターによって行われたカード詐欺の規模に寄与する技術的、政治的、社会経済的要因を分析する。このレポートの情報源は、ロシア語のダークウェブ フォーラムとテレグラム チャネル、ウクライナ政府から提供された情報、およびオープン情報源レポートです。 本レポートの対象読者は、ロシアによるウクライナ侵攻がカード詐欺の規模にどのような影響を与えるかを理解したいと考えている、金融業界の不正対策およびCTI（サイバー脅威インテリジェンス）チームです。​​ 

Executive Summary​​ 

ロシアによるウクライナ侵攻は人道危機を引き起こし、計り知れない人的苦痛をもたらした。西側諸国はロシアに制裁を課し、多くのグローバル企業がロシアでの事業を停止するか、その規模を大幅に縮小することを選択した。これらの措置により、ロシアと西側諸国間の金融取引の流れは大幅に制限された。残念ながら、金銭目的のサイバー犯罪の中で最も蔓延している形態の 1 つであるカード詐欺の観点からすると、これらの措置は、ロシアを拠点とする脅威アクターによる情報漏洩/侵入の支払いカードやキャッシュアウト スキームによるカードの収益化を防ぐことはできません。​​ 

さらに、ロシア国内で現在起きている政治的・社会経済的な動向を分析すると、これらの動向がロシアを拠点とする行為者によるカード詐欺の増加につながる状況を生み出していることが示唆される。政治的要因としては、ロシアと西側諸国との対立が数十年来の最高レベルに達していることが挙げられ、ロシア政府が対外的なサイバー犯罪を対立における有効な手段とみなす状況を生み出している。社会経済的要因は、ロシアを席巻する経済危機によって引き起こされ、以下のような状況を生み出している。​​ 

• 情報漏洩/侵害決済カードを、購入資金調達やロシア発行カードを受け入れなくなったデジタルサービスの支払い方法として見なす技術的な専門知識を持たない個人​​ 
• 情報漏洩や支払いカードの販売など、サイバー犯罪による収入の損失を補うために、ロシアの大規模かつ高度なITコミュニティのメンバーが活動しています​​ 

主な判断​​ 

• 西側のロシアへの制裁、主要なグローバルカードネットワークによるロシア国内取引のみの許可決定、そして複数のインターネットサービスプロバイダーのロシアからの撤退は、ロシア拠点の 脅威アクター が情報漏洩/侵害、販売、収益化に新たな技術的障壁を生み出しているわけではありません。​​ 
• ロシアによるウクライナ侵攻と、それに伴うロシアと西側諸国との対立は、ロシア政府が最近決定したロシア国内のサイバー犯罪者を訴追するという方針を覆し、代わりに無関心、あるいは積極的な支援を選択する可能性のある政治的状況を生み出した。​​ 
• ロシアの経済危機は、ロシアの重要なITセクターと西側諸国との対立と相まって、ITの訓練を受けた人々、あるいは単に副収入を求めている人々が、カード詐欺などの金銭目的のサイバー犯罪に手を染める動機をより強く持つような社会経済的状況を生み出している。​​ 
• 脅威アクター すでにウクライナでの人道的災害と大規模な移民を利用して、情報漏洩や支払いカードの侵害を「旅行詐欺」の改良版で収益化し始めています。​​ 

ロシアがサイバー犯罪を取り締まり、その後ウクライナに侵攻​​ 

レスポンスからロシアのウクライナ侵攻に至るまで、西側諸国はロシアの個人、企業、金融セクターに対して厳しい制裁を実施しています。 これらの制裁措置は既にロシア経済を不安定化させ、ルーブルの急激な下落とインフレ圧力をもたらしている。​​ 

これらの制裁措置に伴い、民間企業がロシアでの事業を部分的または全面的に停止するという決定を下した。金銭目的のサイバー犯罪という文脈において、これらの企業の中で最も関連性の高いのは、主要なカードネットワーク（マスターカード、ビザ、アメリカン・エキスプレス）とインターネットサービスプロバイダー（コージェント、ルーメン）である。カードネットワーク各社は、ロシア発行の決済カードが自社ネットワーク上でロシア国外の加盟店との取引を行うことを今後認めないと発表した。インターネット上でのデータ流通を円滑化するインターネットサービスプロバイダー各社は、ロシア国内での直接サービス提供を停止すると発表した。​​ 

ロシアのウクライナ侵攻以前、ダークウェブのロシア語部分は、ロシアの法執行機関がこれまでにない決定を下し、著名なランサムウェア関係者やダークウェブカード取引市場の運営者を取り締まるという前例のない決定により混乱状態に陥っていた。 取り締まりは2022年1月に始まり、2022年2月中旬まで続き、最終的にREvilのメンバー数名が逮捕され、複数のカード詐欺マーケットプレイスが閉鎖された。この取り締まりはロシアのダークウェブに冷ややかな影響を与え、複数のマーケットプレイスが起訴を避けるために先手を打って閉鎖し、他のマーケットプレイスもインフラをロシアから移転させるために営業を停止しました。​​ 

制裁とグローバル企業の連帯はロシア 脅威アクターによるカード詐欺を防ぐのか?​​ 

ロシアは歴史的に世界中の被害者を標的としたカード詐欺の温床であり、ロシア拠点の情報漏洩 / 侵害 Payment cards を運営し、ダークウェブ カード決済マーケットプレイスを運営し、さまざまな「キャッシュアウト」スキームを通じて情報漏洩 / 侵害 決済カードを収益化しています。 世界中のサイバー犯罪者がカード詐欺に関与しているが、ロシアを拠点とする犯罪者は、カード詐欺の分野において常に不釣り合いなほど大きな存在感を示してきた。その結果、ロシアのサイバー犯罪者がカード詐欺に関与するのを防ぐ、あるいは少なくとも大きな負担をかけられれば、ダークウェブ上で販売されている情報漏洩/侵害決済カードの量が大幅に減少する可能性が高いでしょう。​​ 

ここで重要な疑問が生じる。ロシアの金融機関に対する制裁措置や、大手グローバル企業によるロシアでの事業縮小の決定は、ロシアのカード詐欺師にとって技術的な障壁となるのだろうか？簡潔に答えると、いいえ。​​ 

その理由を説明するために、「ロシアのカード詐欺師」を売り手と買い手の2つのカテゴリーに分ける必要があります。売り手は実際に情報漏洩/侵入支払いカードをダークウェブ市場で販売する行為者であり、買い手はカード記録を購入して収益化する人たちです。 簡単に言えば、制裁措置やグローバル企業の行動は、販売者にとって技術的な障壁にはならない。特に、脅威アクターは常にインターネットや位置情報の制限を回避する方法を模索してきたという事実を考慮すればなおさらだ。購入者にとって、これらの措置は、ロシア国内で換金が行われるキャッシュアウトスキームに技術的な障壁を導入するものの、最終的には、ロシア国外で換金が行われる他のキャッシュアウトスキームは引き続き利用可能となる。​​ 

販売者：Magecartの電子スキミング、データベースダンプ、POS端末マルウェア攻撃キャンペーン​​ 

前述の通り、出品者は情報漏洩/侵害支払いカードをダークウェブ市場で販売する行為者たちです。 従来、サイバー犯罪者は、POS（販売時点情報管理）端末へのハッキング、データベースの「ダンプ」、またはeコマースサイトへのMagecart eスキマースクリプトの注入を行うために、高度な技術的専門知識を必要としていた。しかし、ダークウェブ「何でもサービスとして」犯罪サービスの台頭により、より高度な行為者でも「eスキマーキット」(Magecartサービス)や簡易フィッシングソリューション(サービスとしてのフィッシング)を情報漏洩/侵害カード非存在(CNP)記録に展開できるようになりました。​​ 

技術的な観点から見ると、 脅威アクター 「グローバルインターネット」へのアクセスだけで、Magecart感染や、決済カードデータを含むデータベースの「ダンプ」、遠隔感染を通じて決済カード記録を侵害できます。 これまでのところ、ロシア拠点の脅威アクターは、2022年3月初旬にインターネットサービスプロバイダーの LumenとCogentがロシアでの活動を縮小する 決定を下したにもかかわらず、依然としてグローバルなインターネットにアクセスできています。これらの企業は、同業他社とともにインターネットの基幹を担い、地理的な地域を越えたインターネットデータの転送を円滑化している。Lumenの顧客にはロシアの大手通信会社が含まれており、これらの企業はLumenの技術を利用してロシアのインターネットユーザーをグローバルネットワークに接続していた。専門家はLumenとCogentの撤退によりロシアのインターネットの 帯域幅混雑が増加 すると予想していますが、同じサービスを提供する他の企業はロシア国内で営業を続けており、その結果、ロシア拠点の脅威アクターは西側の被害者を標的としたサイバー犯罪活動を継続可能にしています。​​ 

購入者：マネーミュール、ドロップ、暗号通貨​​ 

買い手とは、情報漏洩/侵害決済カード記録を購入し、それを現金化スキームで収益化するアクターたちです。 これらの手口は、単純なオンラインでの商品やサービスの購入から、マネーミュールのネットワークを巻き込んだ複雑な資金洗浄組織まで多岐にわたる。最終的に、カード詐欺(オンライン銀行口座へのアクセスを目的とした銀行詐欺とは異なり)における買い手の核心的な動きは、情報漏洩/侵害カードデータを実質的な利益に変換、つまり「収益化」する方法にあります。​​ 

ロシアの購入者にとって、カードの収益化の最もシンプルな方法は、カード情報を使ってデジタルサービス（ストリーミングサイト、ビデオゲームサービス、生産性向上プラットフォームなど）のサブスクリプションを購入することだろう。このレベルにおいて、金融機関が実施している既存の不正防止策を除けば、唯一の技術的な障壁は、当該デジタルサービスがロシア市場から撤退したかどうかである。しかし、情報漏洩や侵害記録の購入方法を知っている場合、通常はVPNやプロキシサーバーを通じて地理的制限を回避する方法も知っています。 さらに、最新のデータによると、ロシア政府がソーシャルメディアサイトやニュースメディアに対する新たな禁止措置を実施し始めて以来、ロシアにおけるVPNの利用が急増していることが示されている。カードネットワーク側では、購入者はしばしば非ロシアの情報漏洩/侵害カードを使用しており、主要なカードネットワークがロシア決済カードの外国取引を防ぐために取る措置はカード詐欺の活動に影響を与えません。​​ 

ロシアを拠点とする犯罪者が用いる、より複雑な現金引き出しスキームの中でも、その規模と経済的被害の大きさから最も注目に値するのが「現物転売詐欺」である。この手法では、買い手が情報漏洩/支払いカードデータを侵害して(携帯電話から芝刈り機まで)商品を購入し、その後大幅な割引で販売します。 購入者はその後、転売代金を利益として懐に入れる。不正防止システムが作動する可能性を減らすため、購入者は通常、購入した商品をカード所有者の請求先住所にできるだけ近い場所に配送し、その後、マネーミュール、つまり「ドロップ」と呼ばれる人物に商品を受け取らせる。過去1年間にダークウェブで販売された情報漏洩/侵害カードの約84%が米国、カナダ、英国、オーストラリア、またはEU加盟国から発行されていたため、このスキームの大部分の商品はこれらの国のいずれかに送られています。 そこから、ロシアを拠点とする犯罪組織には主に2つの選択肢がある。​​ 

• 購入した商品を米国またはヨーロッパで販売する。その際、資金洗浄を行うネットワークを通じて商品を受け取り、転売し、利益の一部をロシアの犯罪組織に送金する。​​ 
• 資金洗浄ネットワークに指示して商品をロシアに送り返させ、そこでサイバー犯罪グループがロシア市場で商品を転売する。現在、多くの国際的な小売業者がロシア市場から撤退しているため、特定の商品を入手する他の手段がないロシアの消費者にとって、この選択肢は今後ますます関心を集める可能性が高い。​​ 

いくつかの大手海運・貨物会社が最近、ロシアへの配送を一時的に停止するか、「必需品」のみの発送を発表しましたが、サイバー犯罪グループは再び適応力を示し、脅威アクターがダークウェブのフォーラムでこれらのサービスを宣伝し、ロシアへの再輸送を続けています。​​ 

海外のマネーミュールネットワークを利用する、より複雑な現金引き出しスキームに関しては、西側諸国の制裁措置は技術的な障害にはなっているものの、完全な障壁にはなっていない。以前は、マネーミュールは転売した商品の利益を米国またはEU諸国の「ドロップ」銀行口座に預け入れ、その後、その資金をロシアにある犯罪組織の銀行口座または仮想通貨ウォレットに送金していた。​​ 

現在、ロシア人個人に関連するEUの銀行口座に対する 監視が強化されている ため 、西側諸国を拠点とするマネーミュールがロシアの銀行に資金を送金することは著しく困難になっている。この問題を回避するため、ロシアのダークウェブ関係者は、ジョージア、カザフスタン、アルメニアなど、ロシアに対する制裁措置を実施していない近隣諸国に銀行口座を開設する方向に舵を切っている。サイバー犯罪者たちは、これらの銀行口座を利用して、マネーミュールネットワークから得た利益を受け取ることができる。​​ 

仮想通貨による送金の場合、ロシアのユーザーはウォレットへの支払いを受け取ることはできますが、ロシア政府が実施している通貨規制のため、資金を米ドルに両替することはできません。米ドルは現在変動の激しいルーブルよりも好ましい通貨です。この問題を回避するために、ダークウェブの関係者は、ロシアや西側諸国以外に拠点を置く比較的規制の少ない暗号通貨取引所を通じて暗号通貨をハードカレンシーに変換することを検討し始めており、ジョージア共和国の取引所が大きな役割を果たす可能性が高いです。​​ 

政治的および社会経済的要因が、ロシア人によるカード詐欺の増加につながる状況を作り出している​​ 

ロシアのウクライナ侵攻と西側諸国からのレスポンスは、カード詐欺を助長する政治的・社会経済的状況をいくつか生み出しました。 これらの状況は必ずしもカード詐欺の増加につながるわけではないが、ロシアを拠点とする犯罪者によるカード詐欺活動が増加する可能性を高める。​​ 

政治的要因としては、ロシアと西側諸国との対立が数十年来の最高レベルに達していることが挙げられ、ロシア政府が対外的なロシアのサイバー犯罪を対立における資産とみなすような状況を生み出している。社会経済的要因は、ロシアを襲う経済危機によって推進されており、サイバー犯罪が比較的魅力的な硬通貨情報源となる条件を作り出しています。​​ 

政治的要因：ロシアのサイバー犯罪に対する政府の共謀または支援​​ 

歴史的に見て、ロシアは金銭目的のサイバー犯罪者にとって「安全な避難所」と見なされてきた。なぜなら、ロシア政府は一般的に、サイバー犯罪者が独立国家共同体（CIS）加盟国内の被害者を標的にしない限り、訴追しないという政策をとってきたからである。ロシアによるウクライナ侵攻に至るまでの過程で、この政策は変化しつつあるように見えた。著名なランサムウェア攻撃者が複数逮捕され、一流のカード詐欺サイトが閉鎖されたのだ。​​ 

ロシアの侵攻と西側諸国によるウクライナへの強力な支援を受け、ロシア政府はロシアのサイバー犯罪への不干渉政策に戻ることを示唆しており、ウラジーミル・プーチン大統領は2022年3月5日に「経済犯罪」については訴追しないと表明した。プーチンはカード詐欺のようなサイバー犯罪行為が起訴されないとは明言しなかったが、ロシアのダークウェブフォーラムの脅威アクターはすでにロシアの法執行機関による干渉や起訴を期待していないことを示唆している。​​ 

ロシア政府が金銭的動機によるサイバー犯罪を起訴しなかった場合の即時的な結果の一つは、ダークウェブカード取引市場の復活です。2022年1月と2月のシステム停止は、売り手と買い手の仲介役を務めるカード売買市場を完全に麻痺させるには至らなかったものの、販売のために出品されるカードの量が減少するという短期的な混乱を引き起こした。ロシアの侵攻以前から、アナリストたちは、大手マーケットプレイスの閉鎖を利用して新たなマーケットプレイスがカード詐欺市場の新たなセグメントを切り開く様子を既に目の当たりにしていたが、クレムリンがカード詐欺を再び容認するという漠然としたシグナルを発するだけでも、マーケットプレイスの回復はさらに加速する可能性が高い。​​ 

こうした動きから浮かび上がる最も重要な疑問の一つは、ロシア政府が北朝鮮が辿ったのと同様の道を歩むかどうかである。米国司法省によると、北朝鮮はサイバー犯罪者を取り込み、政権のために金融サイバー犯罪を実行させている。これまでダークウェブフォーラムでは、ロシアの法執行機関が複数のフォーラムを運営しているという未確認の噂があり、西側のセキュリティ実践者の間では、ランサムウェアグループが歴史的にロシア政府から「暗黙の承認」を受けて活動していたのではないかという 広範な疑 念が広まっています。 さらに憂慮すべきことに、最近公開された「コンティ・リークス」の記録には、サイバー犯罪グループと政府との共謀を示唆する記述まで含まれている。その結果、現在懸念されているのは、ロシア政府、あるいは政府機関の抜け目のない上層部が、サイバー犯罪への不干渉や暗黙の容認から、これまで国家の関与がなかった金融サイバー犯罪への積極的な支援や管理へとエスカレートする可能性があるということだ。​​ 

さらに、ウクライナ政府機関である 国家安全保障防衛評議会 のナタリア・トカチュク氏が The Recordに提供した情報 によると(トカチュクはレスポンスで「Russia」とその形式を大文字にしないよう求めていました):​​ 

ウクライナ当局は、ロシアが国家レベルで「サイバー海賊行為」を発展させ、合法化していることを既に認識し始めている。事実上、法執行機関は、犯罪ハッカー集団に対し、主にEU諸国やNATO諸国の銀行から資金を盗むことを「黙認」していることになる。もちろん、この窃盗の仕組みは、侵略国の経済の穴を埋めるために利用される可能性がある。​​ 

プーチンの全体主義的なロシアでは、組織犯罪を含むあらゆるものが情報機関によって管理されているため、独立した（制御不能な）ハッカーやマーケットプレイスは、情報機関との協力なしには長期間身を隠すことはできないのは明らかだ。​​ 

社会経済的要因：危機はサイバー犯罪の温床となる​​ 

ロシアが直面している経済危機の深刻さは、経済のあらゆる分野に影響を与え、ルーブルの急激な下落と、ロシア中央銀行による資本規制および通貨規制の導入につながった。ロシア経済の将来の行方は様々な不測の事態に左右されるが、現在の経済危機、ロシアの重要なIT基盤、そして政府が対外的なサイバー犯罪に無関心または容認する可能性が相まって、サイバー犯罪に関与する個人の増加につながる3つの条件が生まれている。ロシアのメディアによると、戦争勃発以来、7万～10万人のIT専門家がロシアから脱出したとされています。しかし、この数はロシアのIT部門で働く130万人（2019年時点）のわずか5～7%に過ぎず、ロシアのIT労働者の大多数は国内に留まっていることを示しています。​​ 

ザ・レコード紙のインタビューで、ウクライナ政府関係者は「（ロシアに）残っているIT専門家の中には、サイバー犯罪に転向する者もいるだろう」と認めた。同当局者は、ウクライナ当局が「ロシア連邦におけるサイバー犯罪の増加を予測している」と述べ、「モスクワがサイバー犯罪対策、特にサイバー犯罪条約を含むあらゆる分野において国際法の規範を露骨に無視していることは、国内におけるサイバー犯罪の増加に有利な条件を確実に作り出すだろう」と指摘した。さらに、カード作成はサイバー犯罪の「下位」の一つと見なされているため、Recorded Futureのアナリストはロシアのサイバー犯罪の増加はロシアのカード作成の増加と見なしている。​​ 

さらに、ロシアによるウクライナ侵攻は人道危機を引き起こし、2022年4月15日時点で約480万人の難民がウクライナからの脱出を余儀なくされている。程度は低いものの、この戦争はベラルーシとロシアからの移民の波も引き起こした。しかし、両政府とも正確な人数に関する公式統計はまだ発表していない。脅威アクターは既に難民危機や移民問題を悪用し、改良型の「旅行詐欺」を開始しており、サイバー犯罪者が変化する状況に合わせて詐欺の手口をどのように適応させているかを示す新たな事例となっている。​​ 

旅行詐欺とは、サイバー犯罪者が偽の「旅行代理店」を運営し、情報漏 / 決済カードを使用して航空券、ホテル、レジャー旅行などを購入し、それらを正規の割引商品として販売する詐欺の手口を指します。経済の低迷と領空閉鎖を受けてロシア人の海外旅行が減少すると予測される中、これらの関係者は、自らの「旅行代理店」を、ロシア語を話す難民や移民向けにヨーロッパ諸国での住居や商品の割引を提供する選択肢として再定義しようとしている。以下の画像に示すように、犯人たちはTelegramなどのプラットフォームを通じて「代理店」を運営している。これらのプラットフォームは必ずしも犯罪的な性質のものではないが、彼らは手頃な価格のサービスを必要としている顧客を引きつけることができる。しかし、顧客は提供されているサービスが実際には詐欺計画の一部であることに気づかない。​​ 

旅行詐欺の改良形態に加え、分析家はダークウェブの脅威アクターが偽の寄付サイトを立ち上げ、ウクライナ支援者を悪用するフィッシング手法を適応させているのを目撃しています。サイバー犯罪者は通常、2種類の偽のeコマース(この場合は寄付)サイトを運営しています。低レベルのものは決済カードのデータを盗み、高度なものはサイバー犯罪者が管理する加盟店のアカウントに紐づき、収益を懐に入れて後でダークウェブカードマーケットプレイスで販売するための支払いカードデータを収集します。​​ 

今後の展望​​ 

本報告書で扱うすべての技術的、政治的、社会経済的要因と、それらの要因が生み出す条件から導かれる結果の可能性は、ロシアのウクライナ戦争の進路や国際社会および民間企業によるレスポンスに大きく依存しています。 しかし、ウクライナで平和が実現したとしても、ロシアと西側諸国との間の非常に対立的な関係は長期間続く可能性が高く、制裁の緩和がロシア経済の即時的な回復につながる可能性は低い。特に、ロシアが外国企業の資産を国有化したり、経済窃盗を容認したりする可能性がある状況下ではなおさらである。これらのシナリオでは、ロシア政府がサイバー犯罪に無関心または支持し、ロシア国民のサイバー犯罪への関与が増加する条件が維持され、ロシア拠点の脅威アクターによるカード活動の増加が高まります。​​