事例の概要#

2017年8月31日、パリ発のデルタ航空83便でアトランタ国際空港に降り立ったフランス国籍の男性が、入国審査の二次検査に回された。男性の名はGal Vallerius。テキサス州オースティンで開かれる世界ひげ・口ひげ選手権に出場するための渡米だった。

米司法当局の主張では、Valleriusはダークウェブの闇市場Dream Marketで「OxyMonster」を名乗り、管理者（シニアモデレーター）としてフォーラムを仕切りながら、自身も薬物を販売していた。フロリダ州南部地区連邦地裁の決定文によれば、麻薬取締局（DEA）は空港到着の時点で、すでにOxyMonsterとValleriusを結びつけていた。空港での二次検査は偶然ではなく、DEAの依頼で事前に手配されたものだった。

この事例が教材として優れているのは、一つの失敗ではなく、性質の違う三つの痕跡が順に積み重なって特定に至った過程が、裁判資料と報道で追えるからだ。

タイムライン#

時期出来事出典
2015年5月「OxyMonster」がDream Marketにプロフィールを登録。翌月から規制薬物の出品を開始BankInfoSecurity（宣誓供述書の報道）
2016年初め以降DEAの捜査官がDream Marketの販売者から覆面購入を重ねる同上
時期不明捜査官がOxyMonsterの投げ銭用Bitcoinアドレスの送金を分析。続いてValleriusのInstagram・Twitterを見つけ、文体を比較決定文、BankInfoSecurity
2017年8月下旬DEAの捜査官が国土安全保障省捜査局（HSI）に渡航予定を照会。到着の約1週間前に、空港で二次検査に回すよう依頼決定文
2017年8月31日アトランタ空港で二次検査。端末のパスワードを求められて申告し、ノートPCからOxyMonsterにつながるBitcoinウォレットが見つかる。その場で逮捕決定文
2017年9月1日ノートPCの全面的なフォレンジック調査について捜索令状が発付決定文
2018年5月1日証拠排除の申立てを却下すべきとする治安判事の勧告決定文
2018年6月薬物の流通共謀と資金洗浄共謀について有罪を認めるBleepingComputer、AP
2018年10月9日禁錮20年の判決。約100 BTCと約122 BCHの没収AP

特定はどうやって進んだか#

第1段階: 投げ銭用アドレスの送金先#

Dream Marketの通常の支払いは、市場側の混合処理（タンブラー）を通る仕組みになっていた。BleepingComputerによれば、OxyMonsterはこれとは別に、自分が管理するBitcoinアドレスへ直接支払わせる「投げ銭（tip jar）」を設けていた。決定文は、販売の代金もこの投げ銭で受け取っていたと記している。

Bitcoinの取引履歴は誰でも読める公開台帳に残る。フォーラムで公開されたアドレスであれば、そこから出ていく送金も追える。宣誓供述書を報じたBankInfoSecurityによれば、投げ銭用アドレスから出た17件の送金のうち15件が、LocalBitcoins.com上でValleriusが管理する複数のウォレットに入っていた。

第2段階: 公開SNSの発見#

送金先から候補者の名前が浮かべば、次に調べるのはその人物の公開情報だ。BankInfoSecurityによれば、DEAはVallerius名義のInstagramとTwitterのアカウントを見つけている。鍵のかかっていないSNSは、誰でも閲覧できる公開情報、つまりOSINTの対象になる。

第3段階: 文体の比較#

捜査官は、OxyMonsterがシニアモデレーターとしてDream Marketのフォーラムに書いた投稿と、ValleriusのInstagram・Twitterの投稿を比べた。宣誓供述書が共通点として挙げたのは、「cheers」という言葉、感嘆符の二重使用（「!!」）、引用符の多用、そしてときおり混じるフランス語の投稿だった。

一つひとつはありふれた癖だ。「cheers」を使う人も、「!!」を打つ人も大勢いる。だがこの段階で比べている相手は不特定多数ではない。送金の痕跡ですでに絞り込まれた一人の候補者だ。母集団が一人まで縮んでいれば、ありふれた癖の組み合わせでも、同一人物だという推定を補強する材料になる。文体だけで見知らぬ書き手を特定する場合とは、求められる精度がまるで違う。

第4段階: 国境でのデバイス検査#

決定文によれば、DEAの捜査官はOxyMonsterをValleriusと結びつけた後、HSIに渡航予定を照会した。到着が約1週間後だと分かると、空港で二次検査に回すよう依頼した。捜査官は法廷で、Valleriusが何を持ってくるかは知らなかったが、ダークウェブの利用者は個人のノートPCで活動することが多く、持ち物の検査で追加のつながりが見つかることを期待したと証言している。

二次検査で、HSIの係官は電子機器の有無を尋ねた。ValleriusはノートPC、携帯電話、iPadを持っていると答え、パスワードで保護されているかと聞かれて「はい」と答えた。係官が、国境では機器が通常の検査の対象になるのでパスワードが必要だと告げると、Valleriusは「ためらうことなく」パスワードを伝えたと係官は証言している。

別室で待機していたDEAの捜査官は、そのパスワードでノートPCを開き、OxyMonsterのアカウントにつながるとみられるBitcoinウォレットを見つけた。ウォレットにパスワードはかかっていなかった。後に約50万ドル相当だと分かる。宣誓供述書を報じたBankInfoSecurityによれば、ノートPCにはTor Browser、Dream Marketのログイン情報とみられるもの、そしてDream Market上のOxyMonsterの鍵と一致する「OxyMonster」という名前のPGP鍵も入っていた。

ノートPCはパスワードで保護されていた。それでも中身は読まれた。パスワードそのものが、本人の口から係官に渡っていたからだ。

弁護側は後に、パスワードを求める前にミランダ警告（黙秘権などの告知）がなかったこと、令状なしに検査したことを理由に、証拠の排除を求めた。治安判事は2018年5月の勧告で、どちらの主張も退けている。入国時の通常の質問は、逮捕に相当する拘束にはあたらないので警告は不要とした。国境での検索には令状も相当な理由も要らず、事前の捜査がきっかけだったとしてもその点は変わらない、とも判断した。

どうすれば防げたか#

段階架かっていた橋区画を守るための原則
送金匿名の受取アドレスから、実名の人物が管理する仲介サイトのウォレットへの直接送金匿名の区画のお金と実名の区画のお金を、同じ出口で合流させない。用意されていた混合処理を迂回すれば、公開台帳に直線の経路が残る
公開SNS候補者の名前で検索すれば、本人の公開アカウントがすぐ見つかる状態実名の区画の公開範囲を、匿名の区画を持つ前提で見直す
文体「cheers」「!!」、引用符、フランス語という同じ癖が両方の区画に出ていた書き癖は区画をまたいで持ち込まれる。母集団が絞り込まれた後では、ありふれた癖でも補強材料になる
デバイス匿名の区画の鍵・認証情報・ウォレットが、実名で持ち歩く1台のノートPCに同居し、そのパスワードを申告した区画ごとに端末を分ける。暗号化やパスワードは、鍵を渡した時点で守りにならない

脅威モデル別の教訓#

匿名でSNSや掲示板を使っている一般の利用者にとって、この事例の核心は第2段階と第3段階にある。相手が何らかの手がかりで「この人ではないか」と候補を一人に絞れば、あとは公開されている実名のアカウントと文章を見比べるだけで推定は固まっていく。匿名の区画を持つなら、実名の区画の公開範囲と書き癖も、匿名の区画の一部として扱う必要がある。標的型攻撃者が元から自分を知っている人物なら、候補を絞る第1段階すら要らない。

暗号資産を使う人にとっては、第1段階が教訓になる。区画を分けていても、お金はいつか実名の区画に戻る。その出口が本人確認のある仲介サイトであれば、出口が橋になる。

取材で国境を越える記者や研究者にとっては、第4段階が直接の教訓になる。米国の国境では、令状なしの機器検査が認められている。この事例の決定文はそれを改めて確認した。EFFは、米国への入国時に機器のロック解除を拒んだ場合、米国市民は入国自体を拒否されないが機器の留め置きなどに発展しうること、外国人は入国を拒否されうることを説明している。

出典#