「FBIがあなたのデータを要求してきた」とGoogleがユーザーにメールを送信したと判明

by Brian Klug

アメリカの警察機関の一つであるアメリカ連邦捜査局(FBI)は、事件捜査の過程でさまざまなIT企業に対し「捜査に必要なため、特定の人物に関する情報を提供して欲しい」と要求することがあります。そんなFBIからユーザー情報を提供するように要請されたGoogleは、ユーザーに対して「FBIがあなたの情報を要求してきた」と通知するメールを送信していたことが判明しました。

Google Notifies People Targeted by Secret FBI Investigation - Motherboard
https://motherboard.vice.com/en_us/article/pawjjn/google-email-secret-fbi-investigation

海外掲示板のRedditやTwitterなどのSNS、そしてサイバー犯罪者やセキュリティ関係者が集うHackForumsなどのフォーラムでは、実に数十人もの人々が「FBIが自分の情報を要求してきたと、Googleがメールで通知してきた」と話しています。

Googleからのメールには、「Googleはケンタッキー州東部のFBIから、あなたのGoogleアカウントに関連する情報を要求するという法的手続きを受け取りました」と記載されていて、メールは複数のGoogleアカウントユーザーに対して同時に送信されたものであることがわかります。メールにはFBIが情報提供を要求する際に割り振られた、法的手続きの番号も記載されていました。

メールでは具体的にどの事件についての捜査なのか、Googleが要求に応じてFBIに情報を明け渡したのか拒否したのかについて述べられていません。また、法的手続き番号の詳細は伏せられたままだそうで、そこからどの事件に関わる捜査なのかをたどることもできないそうです。

一方で、Googleからメールを受けとったインターネットユーザーの一部は「LuminosityLink」というリモートで動作するマルウェアを購入したと報告しており、今回FBIが行った要求はLuminosityLinkの捜査に関するものではないかと推測されています。LuminosityLinkは遠隔操作で対象のコンピューターを操作し、乗っ取ることが可能なマルウェアだとのことで、コルトン・グラッブスという人物によって40ドル(約4400円)で販売されていました。

グラッブス容疑者は2017年に「ハッキングツールを作成し、何百人もの人々に販売した」として有罪判決を受けており、LuminosityLinkに関する捜査を行っていたのは、Googleのメールに記載されていたのと同じ「ケンタッキー州東部のFBI」だったとのこと。なお、実際にLuminosityLinkを購入してGoogleからの通知メールを受け取ったと語るセキュリティ研究者のルカ・ボンジョルニ氏は、LuminosityLinkはあくまでも研究目的で購入したものであり、自分のコンピューターと仮想マシン間でしか使用していないとしています。

by Brian Klug

サイバー犯罪を専門にするマルシア・ホフマン弁護士は、「メールに記載されている通り、当初は裁判所から『対象となるユーザーには、FBIから要求があったことを通知しないように』と命令されていたものが、やがて命令が解除されたためにユーザーへ通知したのでしょう。これ自体はおかしなことではありません」と語っています。

一方で、「FBIが情報を要求した人々は単にマルウェアを購入しただけで、必ずしも犯罪者になるとは限らなかったはずだ」という点が論争の的となっている模様。インターネットやサイバーセキュリティに関する訴訟を手がけるガブリエル・ラムゼイ弁護士は、「リモートからコンピューターを操作できるソフトウェアを購入しただけでは、その人が善人なのか悪人なのか判断できません」と語り、マルウェアの購入だけでは善悪の判断は不可能だと述べました。