IntelHawk、ランサムウェア集団Qilinの運営者をロシア在住男性と推定

サイバー脅威を調査するIntelHawkは、ランサムウェア集団Qilinの運営者「Haise」が、ロシアのサンクトペテルブルクに住むアレクセイ・ミハイロビチ・ヤコフツェフ氏であるとの分析を示しました。犯罪フォーラムの参加承認記録、過去のハンドル名、登録情報を結び付け、人物特定の確度を高いと評価しています。

Qilinは、直近3カ月だけで少なくとも365組織を被害対象として挙げています。機密データを盗んだうえでシステムを暗号化し、データの公開も材料に支払いを迫る「二重恐喝」を行っています。

参加承認記録から過去の別名を追跡

Haiseは、犯罪フォーラムRAMPでQilinの協力者を募集してきたアカウントです。2023年2月にはQilinの参加プログラムを宣伝し、2024年7月にも募集を続けていました。RAMPへの参加には審査があり、参加希望者は別の犯罪フォーラムでのプロフィールを提示するなどして審査を受ける仕組みでした。

IntelHawkが人物特定の手掛かりにしたのは、2022年6月の参加承認をめぐる非公開メッセージです。6月3日の記録には、参加希望者の名前と別フォーラムExploitのプロフィールがそれぞれ並び、Haiseと対応する位置に「alexbigboss44」のプロフィールが置かれていました。

6月21日の別の承認記録では、Haiseと対応する位置に犯罪フォーラムXSSのプロフィールがあり、IntelHawkはそのアカウントを「Rjun」と特定しています。さらに、Exploit上のRjunのプロフィールにもTelegramの連絡先として「alexbigboss44」が使われており、IntelHawkはこれらを同じ人物に結び付くアカウント群と判断しました。

登録情報とTelegramの履歴を照合

次の手掛かりは、Rjunに関連するフォーラムで繰り返し使われたメールアドレスです。IntelHawkはBHFの記録と、2015年12月9日付のZloyの登録記録に同じアドレスを見つけています。

このアドレスは、ロシアの行政サービス基盤Gosuslugiから漏えいした登録情報にも含まれ、36歳のヤコフツェフ氏の氏名や居住地と結び付いていました。別の照合では、Haiseが長く使っていたTelegramのユーザーIDから、電話番号や複数のメールアドレスをたどっています。Flashpointは、このTelegramアカウントについて2018年以降の5000件を超えるメッセージを記録しています。

一方、IntelHawkは、照合に使われた電話番号はヤコフツェフ氏の姉妹のもので、同氏が姉妹のメールアドレスをウェブサイトへの登録に使うことがあったと分析しています。

人物特定の検証方法について、公開情報調査サービスのOXINTは、識別情報が一致した項目、時期の整合性、情報源の独立性を照合する方法を示しています。また、なりすまし、古い連絡先、組織で共有するアカウントといった別の可能性も検討し、弱い類似点を積み重ねるだけで本人と断定しないよう求めています。

運営者が基盤を提供し、協力者が侵入を担う

Qilinは、攻撃用ソフトや恐喝の基盤を協力者に提供し、身代金を分配する「ランサムウェア・アズ・ア・サービス（RaaS）」型の組織です。アフィリエイトと呼ばれる外部の協力者が企業への侵入やランサムウェアの展開を担い、運営側は攻撃用ソフトの生成、盗んだデータの公開、身代金交渉などに使うシステムを提供します。

2023年7月にHaiseが示した分配方式では、身代金はいったん協力者の暗号資産ウォレットに入り、その後、通常15〜20％の運営側の取り分を送ることになっていました。

Qilinの協力者は、自前の人員、侵入手法、被害組織へのアクセス、ほかの犯罪組織との取引関係を保持できます。共通基盤の運営、侵入の実行、ソフトウェア開発、交渉やデータ公開の支援には、それぞれ異なる担当が関わっています。

Haiseは協力者向け機能の拡張も告知しています。2025年4月1日には新しいランサムウェアと、大量の通信でサービスを妨害するDDoS機能を管理画面に追加すると告知し、同年6月には身代金交渉で圧力を高めるための「Call lawyer」機能を宣伝していました。