ランサムウェア被害企業の交渉支援に携わってきたカナダ人のEdward Dubrovsky氏が、サイバー恐喝に関する共謀などの容疑で米国当局に逮捕されました。同氏については、ハッカー集団「ShinyHunters」によるFBI関連サイトへの攻撃や、FBI関係者の情報流出事件との関連を指摘する報道も出ています。
今回の事件では、FBI関係者約5,000件の記録が含まれるとされる流出データに加え、外部委託先のセキュリティパッチ未適用も問題となっています。FBI職員の個人情報保護だけでなく、企業のランサムウェア対応、外部委託先の管理、身代金交渉サービスの信頼性にも関わる事件です。ただし、逮捕された人物の有罪は確定しておらず、FBIへの攻撃に直接関与したかどうかも公的な提出書類では確認されていません。
- ランサムウェア交渉専門家Edward Dubrovskyが逮捕された経緯
- ShinyHuntersによるFBI情報流出事件との関連
- 今回の事件で判明している情報まとめ
- FBIへの攻撃ではセキュリティパッチ未適用が問題に
- ShinyHuntersの攻撃実績と企業への影響
- 逮捕者とランサムウェア交渉会社Cypferの関係
- 別の身代金交渉事業者も詐欺・恐喝事件で訴追
- 企業が実施すべきセキュリティ対策と確認方法
- FBI情報流出事件に関するよくある質問
- まとめ：FBI情報流出事件は外部委託先管理と身代金交渉の信頼性が焦点
ランサムウェア交渉専門家Edward Dubrovskyが逮捕された経緯
米ペンシルベニア州で逮捕されたEdward Dubrovsky氏は、54歳のカナダ人で、ランサムウェア被害企業に対する復旧支援や身代金交渉を専門としてきた人物です。
フィラデルフィアの連邦裁判所の記録によると、同氏は情報の機密性を損なうと脅迫して金銭を要求する行為に関する共謀、Hobbs Actに基づく恐喝、同法に基づく恐喝共謀の容疑に問われています。
訴状はテキサス州東部地区で提出されていますが、現在も封印されており、具体的な行為の詳細は公開されていません。フィラデルフィアの判事は同氏の身柄拘束を命じ、拘束の継続を判断する審理のため、テキサス州へ移送することとしました。
現時点でDubrovsky氏は有罪判決を受けておらず、認否も明らかになっていません。逮捕と起訴の事実をもって、同氏が実際に情報を盗んだり恐喝を実行したりしたと断定することはできません。
ShinyHuntersによるFBI情報流出事件との関連
今回の逮捕が注目されている理由は、ハッカー集団ShinyHuntersによるFBI関連サイトへの攻撃との関係です。
ShinyHuntersは9月22日、FBIの採用関連サイト「FBIjobs.gov」に、当局による押収を装った偽のバナーを表示しました。その後、FBI関係者約5,000件の記録が含まれるとされるスプレッドシートが流出し、FBI内部のサイバー犯罪対策部門に所属するとみられる人物の情報も確認されたと報じられています。
9月29日には、New York Timesが確認したFBI内部文書において、攻撃者がFBI職員全体の個人識別情報を持ち出している可能性を前提に対応するよう求めていたとされています。ただし、これは内部で想定されたリスクであり、全職員の情報流出が確定したという意味ではありません。
Dubrovsky氏と事件の関係について、New York Timesは関係者2人の証言を基に、同氏がFBIの情報流出に関与した疑いで拘束され、ShinyHuntersによる攻撃の主要な共謀者とみられていると報じました。CNNやCBS Newsも捜査関係者の証言から関連性を伝えています。
一方、Politicoは両事件の関係は明確でないと報じ、BleepingComputerも封印された訴状からは具体的な関与を判断できないと指摘しています。
公開された起訴関連情報が中心としているのは恐喝容疑であり、FBIシステムへの侵入行為そのものではありません。捜査関係者による証言と、裁判所で公表された事実は区別する必要があります。
今回の事件で判明している情報まとめ
| 確認項目 | 内容 |
|---|---|
| 逮捕された人物 | Edward Dubrovsky氏、54歳、カナダ人 |
| 主な容疑 | 情報の機密性を脅かす恐喝の共謀、Hobbs Actに基づく恐喝および共謀 |
| 関連が報じられた集団 | ShinyHunters |
| 攻撃されたサイト | FBIjobs.gov |
| サイト改ざん | 9月22日に偽の押収バナーを表示 |
| 流出が疑われる情報 | FBI関係者約5,000件の記録を含むとされるデータ |
| 指摘されたセキュリティ上の問題 | 外部委託先による第三者プラットフォームへのセキュリティパッチ未適用 |
| 逮捕者の司法手続き | 身柄拘束とテキサス州での審理が命じられた段階 |
| FBI攻撃への直接関与 | 複数の報道が関連を指摘する一方、公開裁判資料では確定していない |
FBIへの攻撃ではセキュリティパッチ未適用が問題に
今回の事件で企業のセキュリティ担当者が注目すべき点は、外部委託先によるセキュリティ管理です。
FBIサイバー部門のBrett Leatherman副局長補は、第三者プラットフォームに必要なセキュリティパッチを適用しなかった契約業者に問題があったと説明しました。
同氏によると、FBIは当該契約業者を排除し、追加リスクの軽減と職員の保護に必要な措置を実施しています。
この説明は、組織が直接管理していない外部サービスや委託先の保守不備も、重大な情報セキュリティリスクになり得ることを示しています。
ただし、取得された情報には攻撃者が使用した具体的な脆弱性番号や侵入手順の詳細は含まれていません。そのため、特定のソフトウェア製品やバージョンに脆弱性が存在したと断定することはできません。
ShinyHuntersの攻撃実績と企業への影響
ShinyHuntersは少なくとも2018年から情報漏えい事件に関連付けられている集団です。BleepingComputerによると、ほかの攻撃者による恐喝を支援するサービス型の活動にも関与してきました。
New York Timesが報じたFBI側の説明では、同集団は昨年以降、140以上の組織に侵害を加え、7,000万ドルの金銭を恐喝によって得たとされています。これらは当局側が示した規模であり、すべての被害が裁判で認定されたという意味ではありません。
企業サービスを標的とした情報流出
2025年8月にはSalesforceのデータベースを標的とした一連の攻撃にShinyHuntersが関連付けられ、Workdayも影響を受けました。
12月には分析サービスのMixpanelから流出したデータを利用し、Pornhubに対してPremium利用者の視聴履歴を材料とする恐喝が行われました。
さらに3月には、ID保護サービスを提供するAuraが音声フィッシングによって約90万件の記録を奪われたとされ、同社が支払いを拒否した後、データが公開されています。
5月にはCanvasを利用する学生が、試験期間中に通常のダッシュボードの代わりにShinyHuntersの身代金要求文を目にする事件も発生しました。
これらの事例からは、組織への侵入だけでなく、取得した機密データを後から恐喝に利用する手口にも注意が必要であることが分かります。
逮捕者とランサムウェア交渉会社Cypferの関係
Dubrovsky氏は、トロントに拠点を置くランサムウェア復旧企業Cypferで勤務していた経歴を持ちます。
Cypferが2022年に同氏をマネージングディレクターとして採用した際の発表では、30年間の業界経験を持ち、CISSP、OSCP、PMPなどの資格を保有すると紹介されていました。また、York Universityのサイバーセキュリティ諮問委員会にも参加していたとされています。
同氏のLinkedInプロフィールにはCypferの最高執行責任者および元創業者を示す記載がありましたが、Cypferは創業者だったことを否定しています。同社広報担当者はセキュリティ記者Brian Krebsに対し、同氏はマネージングディレクターを務めた後、昨年11月に退職したと説明しています。
その後、同氏は身代金交渉企業CyberStewardとの関係を持っていました。Politicoによると、訴訟資料ではCyberStewardはCypferの商号として記載されていました。
同氏は2025年4月のRSA Conference関連イベントでFBIのサイバー部門職員と同じ討論会に登壇した経歴があり、9月24日にはランサムウェア交渉に関する著書「Cyber Extortion Strategic Response」を自主出版しています。
こうした専門的経歴と今回の容疑が対照的であるため、サイバー犯罪対応を請け負う事業者の内部統制や利益相反管理にも関心が集まっています。
別の身代金交渉事業者も詐欺・恐喝事件で訴追
今回の事件とは別に、ランサムウェア対応事業者をめぐる刑事事件も報じられています。
フロリダ州に拠点を置くMonsterCloudの経営者Zohar Pinhasi氏は、通信詐欺の容疑でブルックリンの裁判所に出廷しました。
検察側は、同社が実際には保有していない復号ツールについて被害企業に請求し、その裏で攻撃者に身代金を支払っていたと主張しています。数百社が同社に1,900万ドル以上を支払い、同氏側は攻撃者へ800万ドル以上を支払ったとされています。同氏は無罪を主張しています。
また、DigitalMintの元ランサムウェア交渉担当者Angelo Martino氏は、BlackCat/ALPHVとの協力を認め、4月に有罪答弁を行いました。
この事件では、顧客の機密性の高い交渉情報を攻撃者へ提供して報酬を受け取っていたほか、ほかのサイバーセキュリティ従事者と協力して新たな被害者への攻撃にも関与したとされています。
同氏は7月、恐喝による州際通商への妨害を共謀した罪で禁錮70カ月を言い渡されました。
ただし、これらは別個の事件です。今回逮捕されたDubrovsky氏について、同様の不正行為が立証されたということではありません。
企業が実施すべきセキュリティ対策と確認方法
今回のFBI関連事件では、外部委託先のパッチ管理と機密情報の流出リスクが主な教訓となります。一般企業においては、次の順序で確認すると実務上の優先順位を整理しやすくなります。
- 外部委託先のパッチ適用状況を確認する。Webサービス、外部公開システム、第三者プラットフォームについて、更新の実施状況と未対応の脆弱性を確認します。委託先から適用記録や対応期限を提出してもらうことも有効です。
- 機密データへのアクセス権限を点検する。従業員情報、顧客情報、認証情報などにアクセスできるアカウントを確認し、不要な権限を削除します。外部委託先に付与したアクセス権限も対象にします。
- 不審な認証やデータ取得の履歴を調査する。普段と異なるログイン、アクセス元、短時間での大量ダウンロード、想定外のデータ転送などがないか確認します。
- 音声フィッシングへの対応を見直す。電話で認証コードやアカウント情報を求められた場合は、その場で提供せず、社内で確認済みの連絡手段を使って本人確認を行う手順を周知します。
- ランサムウェア対応会社の選定基準を確認する。委託契約、秘密保持、交渉記録、支払い承認手続き、利益相反の管理体制などを事前に確認します。
特に、外部委託先が保守しているシステムについて、更新責任者や未適用パッチの有無を把握できない状態は優先的に改善すべきです。
なお、これらは今回の報道から導かれる一般的な予防策であり、ShinyHuntersの特定の攻撃手法を完全に防止できると保証するものではありません。
FBI情報流出事件に関するよくある質問
Q. Edward Dubrovsky氏がFBIへのハッキングを実行したことは確定していますか？
確定していません。複数の報道機関が捜査関係者の証言に基づいて関連性を伝えていますが、公開された裁判記録ではFBIへの侵入行為を直接立証する情報は示されていません。
Q. FBIの全職員の個人情報が流出したのですか？
全職員の情報流出が確定したわけではありません。約5,000件の関係者記録が含まれるとされるデータが報じられたほか、内部文書では全職員の個人識別情報が流出している可能性を想定していました。実際の被害範囲は区別して捉える必要があります。
Q. FBIへの攻撃にはどのような脆弱性が使われたのですか？
FBI側は、外部委託先が第三者プラットフォームに必要なセキュリティパッチを適用していなかったと説明しています。ただし、取得テキストには具体的な脆弱性番号、対象製品、悪用方法の詳細は示されていません。
Q. 一般の企業もShinyHuntersへの対策が必要ですか？
今回の事件だけを理由に、すべての企業が同じ攻撃を受けると判断することはできません。ただし、同集団は複数のサービスや組織に関係する情報流出事件で名前が挙がっています。外部委託先の更新管理、認証情報の保護、機密データへのアクセス監視は、企業規模を問わず検討すべき対策です。
まとめ：FBI情報流出事件は外部委託先管理と身代金交渉の信頼性が焦点
今回の事件では、ランサムウェア交渉を専門としてきたEdward Dubrovsky氏が恐喝共謀などの容疑で逮捕され、ShinyHuntersによるFBI関連サイトへの攻撃との関係が報じられています。
FBI側は外部委託先のパッチ未適用を問題として挙げており、約5,000件の関係者記録が含まれるとされる流出データも報じられました。一方、Dubrovsky氏の事件に関する訴状は封印されており、FBIへの攻撃との直接的な関係や刑事責任は確定していません。
企業が優先すべきなのは、外部委託先を含むパッチ管理の点検、機密情報へのアクセス制御、そしてインシデント対応事業者の選定・監督体制の確認です。今後は公開される裁判資料とFBIの公式説明を確認し、容疑と立証された事実を区別して事件の進展を把握することが重要です。
