海外における個人情報流出事件とその対応第185回サイバー犯罪者に悪用されるプリペイドカード (1)プリペイドカードに不正処理を施す

　9月4日、"悪名高い"イスラエル人のハッカーが、3人の共犯者と金融業のシステムにハッキングを行ったとしてカナダで拘束されたことが報じられた。プリペイドのデビットカードの口座資金を、ハッキングにより不正に操作していたというものだ。

　事件の中心人物はEhud Tenenbaumで29歳の男性だ。また、共犯者はPriscilla Mastrangelo（30歳）、Jean Francois Ralph（28歳）、Sypros Xenoulis（33歳）とされている。

　4人はカナダ東部のモントリオールに住んでいたようだが、攻撃されたのはカルガリーの企業だ。報道では、カルガリー警察は名称を発表していないが、プリペイド式のデビットカードやクレジットカードの販売をしていた全国レベルの企業ということだった。

　その後、wired.comのブログ、Threat Levelが、事件の詳細を紹介し、被害を受けたのはカルガリーにあるDirect Cash Managementのコンピュータだったと明らかにしている。警察の発表で地方の企業ではなく、カナダ全国レベルとのことだったが、同社のWebサイトを見ると、トロント証券取引所の上場企業で、本社のカルガリー以外にも、バンクーバーやモントリオールなど7カ所に事務所を持っている。

　Direct Cashの業務はATMの機械とデビットカード用ターミナル、そしてプリペイドカードの提供だ。プリペイドカードについてもカナダの大手で、同社のカードは現在30万枚以上が流通している。

●カード発行会社にハッキング

　Threat Levelがカナダの検察局に確認した話ではTenenbaumらは、このDirect Cash のプリペイドカードを37枚購入。いずれも額面は15カナダドルが中心と、低いものだった。プリペイドカードの購入には、犯行グループの4人以外にも加わっていたようだが、このカードの磁気ストライプに保管されているデータは、4人に渡るようになっていた。

　そして、犯人らはモントリオールからDirect CashのサーバをSQLインジェクションによりハッキング。デビットカードの額面を削除した後、新たに高額に変更していた。そのうち1枚は100万カナダドルを超える額に変えられていたという。15カナダドルなら日本円でも2,000円以内、それを100万カナダドルというと約1億円になる。このように、カードの価値を操作することで、現金を獲得していたという。不正処理を行ったカードデータは、世界各地にも販売されていたようだ。

　不正に現金の引き出しが行れていたのは、カナダ国内数カ所のATMからだが、大半はモントリオールだったという。ただし、インターネットなどを通してグループからデータを購入した海外の犯罪者によるものもあり、カナダ国外からの不正引き出しも確認されている。また被害金額は180万カナダドルに達する。

　逮捕のきっかけになったのは、不正操作を行ったプリペイドカードを用いて、Tenenbaumらが現金を引き出す様子が、ATMのビデオカメラに記録されていたためだ。グループが逮捕されたのはモントリオールで、その後、カルガリーに移送された。捜査はカルガリー、モントリオール、バンクーバーの市警、そして米国のシークレットサービスも関わった。カルガリー警察が捜査を開始したのはバンクーバー市警からの連絡を受けてのことで、余罪があると見られていた。

　シークレットサービスも関わっていたというから、案の定と言っていいだろう。Tenenbaum は、翌10月にニューヨーク東部大陪審により起訴された。起訴状では、他人へ発行された"アクセスデバイス"を用いた詐欺の罪に問われている。

　アクセスデバイスというのは、他人の口座を不正に使用していたということ、そして他人に発行されていたということから、クレジットカードやデビットカードのようなものであったと考えられるだろう。起訴状では名前は出ていないが、共犯者がいたようだ。

　また、犯行を行っていたのは2008年2月から5月の間で、ニューヨーク東部地域、およびほかの場所となっている。被害総額は1,000ドル以上ということだが、起訴状の時点では明確ではない。

●国防総省などに侵入したことのあるハッカーが犯人

　事件の中心人物とされているEhud Tenenbaumは悪名高い。カナダでの逮捕時、イスラエル国籍でモントリオール在住だったが、インターネットの世界で"the Analyzer"と呼ばれる、名を知られるハッカーだ。

　"the Analyzer"は、1990年代後半に、海軍水中兵器センター、アンドリューズ空軍基地、国防総省、NASA、イスラエル議会、ハマスなどにハッキングしたことでも知られている。ほかにも企業や大学などの教育機関もターゲットにされていた。現在29歳ということだから、国防総省のシステムを攻撃したときは、まだティーンエイジャーだったことになる。

　1998年に逮捕された際には…

【執筆：バンクーバー新報西川桂子】
──
※ この記事は Scan購読会員向け記事をダイジェスト掲載しました
購読会員登録案内
http://www.ns-research.jp/cgi-bin/ct/p.cgi?m-sc_netsec