米国人投資家のマイケル・テルピン氏が８月15日、ＡＴ＆Ｔに対して２億2400万ドルの訴訟を起こした。同氏は大手通信事業者であるＡＴ＆Ｔがハッカーに自身の電話番号へのアクセスを供与した結果、大量の仮想通貨が盗まれたと考えている

　マイケル・テルピン氏はプエルトリコ在住の企業家で、トランスフォームグループのＣＥＯを務めている。同氏はビットコイン（ＢＴＣ）関連のエンジェル投資家グループであるビットエンジェルスと、デジタル通貨関連ファンドであるビットエンジェルスDAppsファンドの共同創設者でもある。

　テルピン氏は、７カ月の間に起こった２度のハッキングで2400万ドル相当を失ったと主張している。カリフォルニアの法律事務所であるグリーンバーグ・グラスカーと共同で同氏が提出した69ページの訴状では、17年６月11日と18年１月７日に発生した２件の事件が説明されている。訴状によると、テルピン氏が90年代から長年契約しているＡＴ＆Ｔは、この両方の事件で同氏のデジタル上の個人情報を保護できなかったという。

　現在テルピン氏はＡＴ＆Ｔに対し、2400万ドルの補償と２億ドルの懲罰的損害賠償を求めている。

 

ＳＩＭスワップ詐欺とは？仮想通貨盗難の手口

　訴状によると「ＡＴ＆Ｔがしたことは、ホテルが偽ＩＤを持つ泥棒にルームキーと金庫の鍵を渡し、安全な場所にある宝石を正当な所有者から盗ませたようなもの」であり、テルピン氏はＳＩＭスワップ詐欺（ＳＩＭハイジャックや「ポートアウト（電話番号転出）詐欺」とも呼ばれる）の被害者だという。

　ＳＩＭスワップとは、Ｔ‐モバイルのような通信事業者を使って、標的の電話番号をハッカーが持つＳＩＭカードへ移転させる行為だ。一旦電話番号を受け取れば、ハッカーはそれを使って被害者のパスワードをリセットし仮想通貨取引所のアカウントなどに侵入できる。

　マザーボードが記しているように、これにより２段階認証でさえ迂回されることもある。マザーボードの調査によると、ＳＩＭスワップは「比較的簡単に行え、広まっており、仮想通貨アカウントが標的になることが多い」という。

　このようなハッキングを行う際に使われる手法は様々だ。顧客サービス担当者をだまして自分が標的だと信じ込ませ、データを入手することもある。しかしマザーボードによると、詐欺師はいわゆる「プラグ」（報酬をもらって違法なスワップを行う通信事業会社内部の人物）を使うことが多いという。ＳＩＭハイジャックを行っている匿名の人物はマザーボードに対し次のように語った。

「皆、彼らを使ってる（...）（通信事業会社に勤めている）誰かに金を稼げると言えば、やってくれる」

ベライゾンの匿名の情報筋はマザーボードに対し、レディットを通じて、ＳＩＭスワップをする代わりに賄賂を贈ると持ち掛けられたことがあったと語った。べラインゾンの別の従業員は、自分が協力すれば「数カ月で10万ドル」稼げる、「（自分の）勤務中に（ハッカーのために）ＳＩＭカードをアクティベートするか、（ハッカーに自分の）従業員ＩＤと個人識別番号を渡す」だけでいい、とハッカーが語ったと述べた。

　テルピン氏の訴訟により関係したこととしては、マザーボードとＡＴ＆Ｔの従業員とのやり取りによると、同社のシステム設計上、電話番号移転の際にＡＴ＆Ｔが要求するパスコードのようなセキュリティ機能を一部の従業員が上書きできるという。

「そこからパスコードを変更できる（…）新たなパスコードを使って、妨げられることなく電話番号を転出できる」

テルピン氏はどのようにハッキングされたのか？

　前述のとおり、テルピン氏は17年６月と18年１月の計２回ハッキングを受けている。

　訴状によると、まず17年夏に電話が突然不通になった際、テルピン氏は自分のＡＴ＆Ｔの電話番号がハッキングされたことを知った。「ＡＴ＆Ｔストアでパスワードの入力に11回失敗した後」パスワードが遠隔操作で変更されていたとＡＴ＆Ｔから知らされた。

　ハッカーはテルピン氏の電話へのアクセス権を得た後、通話やメールを含む同氏の個人情報を使って、電話番号を用いて認証を行う「仮想通貨アカウント」など（これらのアカウントの種類は明らかになっていない）に侵入した。ハッカーはさらにテルピン氏のスカイプのアカウントも乗っ取り、テルピン氏に成りすまして顧客の１人に仮想通貨を送るよう促したという。

　ハッカーがテルピン氏から「大量の資金」を盗んだ後になってようやくＡＴ＆Ｔはハッカーへのアクセスを遮断したという。訴状には、この事件後の17年６月13日にテルピン氏がＡＴ＆Ｔの担当者と会ってこのハッキングについて話し合い、ＡＴ＆Ｔは同氏のアカウントを有名人が使っているものと同等の「特別に保護」された「より高いセキュリティレベル」に移すと約束したとも記されている。

「ＡＴ＆Ｔはさらにテルピン氏に対し、秘密コードを知るのはテルピン氏とその妻だけなので、このセキュリティ対策の強化により、テルピン氏の明確な許可無しに同氏の電話番号が別の電話に移転されることは無くなると語った」

　しかし半年後の18年１月７日、テルピン氏は再度ハッキングを受け、電話は再び不通になったという。訴状では、17年６月に追加のセキュリティ対策が取られたが「ＡＴ＆Ｔストアの従業員が詐欺師と共謀しＳＩＭスワップ詐欺を行った」とされている。

「ＡＴ＆Ｔが後に認めたように、コネチカット州ノーウィッチのＡＴ＆Ｔストアの従業員がテルピン氏の携帯電話番号を詐欺師に移転していた。これは17年６月11日のハッキング後にまさにこのような詐欺から保護するためにテルピン氏のアカウントに組み入れられた高度なセキュリティを含む、ＡＴ＆Ｔによる保証を侵害する行為だった」

　同氏は電話が不通になった後「すぐに」ＡＴ＆Ｔに連絡を取ろうとしたが、およそ2400万ドル相当の仮想通貨が盗まれたという。ＡＴ＆Ｔは同氏の要請を「無視」し、詐欺師がテルピン氏の仮想通貨アカウントに関する情報を集め同氏の資金を自分のアカウントに移すのに十分な時間を与えたという。訴状によると、当時テルピン氏の妻もＡＴ＆Ｔに連絡を取ろうとしたが、ＡＴ＆Ｔの詐欺担当部署に繋げるよう依頼した後「延々と保留のまま」にされたという。

ＳＩＭスワップ詐欺の判例となるか

　訴状の要旨では、ポートアウト詐欺の規模の大きさが強調されている。

「ＡＴ＆Ｔは約１億4000万人の顧客をＳＩＭカード詐欺から保護するために何もしていない。ＡＴ＆Ｔは顧客がＳＩＭスワップ詐欺の標的になっており自社のセキュリティ対策が有効ではないと十分に認識しているので、これらの詐欺に対する直接的な責任がある。あまりにも大規模で対処できないので、ＡＴ＆Ｔはこのような詐欺から顧客を守ることを事実上何もしていない」

　この件についてギズモードがＡＴ＆Ｔにコメントを求めたところ、同社は告訴内容を否認し応戦する準備は整っていると語った。

「これらの申し立てに対抗し、法廷で我々の論拠を提示するつもりだ」

　テルピン氏はギズモードに対し、このような仮想通貨盗難は「こういったディスコードのグループに入っている学生」が行っていることが多い語った。同氏は自身の事件ではＡＴ＆Ｔの従業員が利用されたとも主張している。

「（仮想通貨ハッキングに）関連しているのは、どの事件でも内通者がいるという事だ（...）デジタル上の個人情報を誰も公開しなければ（仮想通貨取引は）安全だ」

　同氏は、ＦＢＩ、国土安全保障省、米シークレットサービスに通報し、これらの組織がハッキングに加わった疑いがあるＡＴ＆Ｔの従業員を特定したと付け加えた。

　テルピン氏はまた、もう電話番号は誰にも公開しない、代わりにグーグルボイスを使うと話している。

どのトークンが盗まれたのか、どこの仮想通貨アカウントを持っていたのかを特定するため、コインテレグラフはテルピン氏の弁護士に連絡した。返答があり次第この記事を更新する。