事例の概要#

匿名のメールアドレスを作ること自体は、技術的には簡単だ。しかし、作ったアカウントの運用において、実名の情報と連結する痕跡が生まれる。この記事では、匿名メールの運用が崩れた三つの事例を、令状申立書と一次報道に基づいて分解する。

三つの事例は、それぞれ異なる立場の人物に起きている。米国防情報局（DIA）の職員、スパイウェアの開発者、そしてロシアの軍事情報機関とされる集団。立場と資源は大きく異なるが、崩れた箇所は共通している。

タイムライン: Laatsch事件#

時期出来事出典
2025年3月2日Laatschが匿名メールアカウント（EMAIL ACCOUNT 1）を作成。同日、COUNTRY 1（外国政府）に機密情報の提供を持ちかける最初のメールを送信宣誓供述書
2025年3月2日EMAIL ACCOUNT 1に、Laatschの私用とみられる別のメールアカウントからテスト送信とみられるメールが届く宣誓供述書
2025年3月EMAIL ACCOUNT 1からCOUNTRY 1に、米政府の身分証2枚の表裏写真を添付したメールを送信宣誓供述書
2025年3月〜4月FBIがEMAIL ACCOUNT 1と私用メールアカウントの両方に、Laatschの自宅と同一のIPアドレスからのログインを確認宣誓供述書
2025年5月逮捕。米国防情報局（DIA）の情報セキュリティ担当職員であることが公表されるArs Technica
2026年8月有罪答弁DOJ EDVA

特定はどうやって進んだか#

Laatsch: 四つの連結#

宣誓供述書は、Laatschを特定した経緯を複数の痕跡で説明している。

身分証の画像: EMAIL ACCOUNT 1の利用者は、米政府の身分証2枚の表裏写真を添付した。名前と写真は黒塗りされていたが、宣誓供述書の ¶12によれば、それ以外の未黒塗り情報から、法執行機関はその身分証がLaatschのものであると特定した。身分証には、氏名と写真以外にも、所属機関を示す情報が含まれていた。

テスト送信: EMAIL ACCOUNT 1が作成された同じ日に、別のメールアカウントからメッセージが届いた。この別のアカウントは、氏名・生年月日・電話番号で登録されており、Laatschのものと特定された。宣誓供述書はこのメッセージを「possibly a test email（テスト送信だった可能性がある）」と書いている。両アカウントが同じIPアドレスからログインしていたことと合わせて、二つのアカウントを同じ人物に結びつける材料として使われた。

同一IPからのログイン: 両アカウントのログイン記録を照合した結果、同じIPアドレスからのアクセスが確認された。このIPアドレスはLaatschの自宅に割り当てられているものだった。

添付ファイルの情報: 添付された身分証の画像は、黒塗りが不完全だったのではない。名前と写真は正しく黒塗りされていた。それ以外の未黒塗り情報（身分証の種類や所属を示す文言など）が、特定の手がかりになった。

Mephobia: ニックネームの連結#

スパイウェア「Limitless Logger」の開発者として知られたMephobiaは、ハッキングフォーラムHack Forumsで活動していた。

Trend Microの分析によれば、2012年1月にMephobiaアカウントでログインした状態で、誤って本名が含まれた投稿を行った。この投稿を起点に、研究者は他のアカウントを追跡した。

「RockNHockeyFan」というニックネームのメールアドレスが、学習支援サイトQuizletのプロフィールに「Zach Shames」の名前でリンクしていた。Runescapeのフォーラムでアカウント窃取ツールを投稿していた「Z3r0Grav1ty」のツールには「Mephobia」という文字列が含まれていた。AOLとMSN Liveのアカウントから、さらにソーシャルネットワーク上のプロフィールが見つかった。

ニックネーム間の連結は、フォーラム以外の、より古い、防御が甘いサービスで崩れた。

Guccifer 2.0: 単一の痕跡と単一の出典#

2016年に米大統領選挙に関連する文書を漏えいしたと主張した「Guccifer 2.0」は、後にロシアの軍事情報機関（GRU）の作戦であるとされた。

The Daily Beastの報道（2018年3月）によれば、Guccifer 2.0がVPNを有効にし忘れたことで実際のIPアドレスが露出したという情報は、匿名の情報源1人に基づくものであり、報道の時点で米政府は確認していなかった。この点を明記せずに「VPNを忘れたから暴かれた」と断定することはできない。

確認できている痕跡は、言語特性（ロシア語の翻訳調の英文）、PDF文書のメタデータ、アカウントの使い回し、マルウェア（X-Agent）の再利用など、複数の要素が組み合わさったものである。

どうすれば防げたか#

失敗点起きたこと防げたはずの対策
テスト送信匿名アカウントの作成日に、実名アカウントからメッセージが届いた匿名アカウントの作成とテスト送信を、実名の環境から完全に切り離す
同一IPからのログイン両アカウントに同じ自宅IPからのログインが記録された匿名アカウントのログインには、実名アカウントと異なる回線・VPNを使う
添付ファイルの黒塗り身分証の氏名と写真は黒塗りされたが、それ以外の未黒塗り情報から特定された添付ファイルの黒塗りは、すべての識別可能な情報を対象に行う。または添付しない
本名の誤投稿フォーラムで実名を含む投稿を誤って行った投稿前に本文を実名の文字列で検索する。複数のニックネームを横断して検索する
単一の出典への依存VPN忘れという報道が匿名情報源1人に基づくものだったことを確認せずに流布した出典の性格（一次情報か、匿名情報源か）を確認してから使用する

脅威モデル別の教訓#

匿名のメールアドレスを持っている一般の利用者にとって、この事例の核心は「作成」と「運用」の区別にある。アカウントを作ること自体は技術的に簡単だが、その後の運用で実名の情報が混入しないようにするには、継続的な注意が必要だ。

Laatschの事例では、テスト送信という一つの行動が、二つのアカウントを結ぶ橋になった。この橋は、送信者と受信者のメールアドレスの対応関係として、サービス提供者のログに記録される。IPアドレスの一致は、この橋を補強する。

Mephobiaの事例では、ニックネームの連結が、本来意図していない場所で起きた。Quizletは学習支援サイトであり、匿名性を意識して使う場所ではない。しかし、検索すれば見つかる。過去に作成したアカウントの存在を、自分自身が忘れていることがある。

匿名アカウントの運用を始めるとき、過去に使ったニックネーム・メールアドレス・接続環境を書き出し、それぞれが他の区画と連結していないかを確認する作業が、最初の一歩になる。

出典#