はじめに（この記事で分かること）#

「サイバー犯罪者はどのように匿名化しているのか」——この問いには二つの誤解がつきものだ。一つは「犯罪者は特殊な技術で完全に消える」という見方。もう一つは「摘発されるのは間抜けな奴だけ」という見方だ。裁判記録と捜査機関の発表を読む限り、どちらも実態と一致しない。

摘発された事件に残る匿名化は、VPNやTorのような既製品の組み合わせで構成されていた。崩れた場所は道具の性能だけでは説明できない。多くの事例で入口になったのは層と層の継ぎ目——通信提供者、サーバーの物理的所在、お金の出口、共同作業者、端末だった。

この記事は、公記録に残った使われ方を6つの層に分解して整理する。Lamerzの他の記事が「一般の利用者が匿名を守る」観点で書かれているのに対し、この記事は鏡像の観点を取る。捜査側がどこを見に来るかを知ることは、自分の痕跡がどう見られているかを理解することでもある。サイトの方針どおり、手法の再現手順は書かない。

前提: 脅威モデルの整理#

ここで並べる事例の主語は、すべて摘発された者たちだ。成功した匿名化は記録に残らず、捜査機関が明かしていない手法は事例に現れない。つまりここから読み取れるのは「匿名化の上限」ではなく「崩壊点の地図」だという偏りがある。この限界は総論の記事でも述べたとおりで、この記事でも最後に改めて扱う。

また、犯罪者の選択を参考にするのと、監視の構造を理解するのとを混同しないようにする。一般の読者の脅威モデルは、法執行機関ではなく、ISP・プラットフォーム・開示請求する相手・ストーカーであることが多い（脅威モデル入門参照）。それでも強い相手に通用した痕跡の構造は、弱い相手にも通用する。事例記事シリーズを貫くこの前提を、この記事でも引き継ぐ。

第1層: 通信——Tor、VPN、そして「暗号化携帯」#

摘発事例に最も頻繁に現れるのは、既製品の通信手段だ。Wall Street Marketの運営者たちは管理作業をVPN経由で行っており、そのVPNの切れ目が崩壊点になった。闇市場の運営はonionサービスで行われ、HydraもTor上で動いていた。

もっとも大きい装置は「暗号化携帯」と呼ばれる端末群だ。EncroChat（2020年7月摘発）はフランスの司法当局がサーバーに技術的な介入をすることで通信にアクセスでき、企業側が「電話を捨てろ」と利用者に警告した2020年6月13日に傍受は終わった（Eurojust）。Sky ECCは全世界で約17万の利用者がいるとされ、1日あたり約300万件のメッセージが交わされていたが、2021年2月に当局が暗号化の解除に成功し、3月の行動日で大規模な検挙が行われた（Europol）。

その後を埋めたのがANOMだった。FBIは2018年に摘発した暗号化携帯会社Phantom Secureの事件で得た協力者を使い、自らが運営する暗号化携帯事業を立ち上げた。米司法省の発表によれば、ANOMは300以上の犯罪組織、100以上の国で1万2000台以上の端末に使われ、2700万件のメッセージがFBIのサーバーに転送され続けた。2021年6月の摘発時点で800人以上が逮捕されている。Europolは、Sky ECC摘発後に利用者をANOMへ移住させたことが「意図的で戦略的な側面」だったと明言している。

この層の核心は、匿名化の装置が「提供者への信頼」の上に成り立っていたことだ。鍵が提供者側のサーバーにあったと当局が説明したEnnetcomの事例（弁護側は鍵は別の組織にあったと主張した。Ennetcomの罠）も、提供者そのものが捜査機関だったANOMも、構造は同じだ。利用者は自分で検証できるものを何も検証していなかった。

一般の利用者にとっての教訓は、メッセンジャーやVPNを選ぶときの評価軸が「宣伝文句」ではなく「鍵を誰が持つか」「サーバーがどこにあるか」であることだ。匿名メッセンジャー比較とSessionのリンクプレビュー問題は、プロトコルの強さとは別のところで崩れる実例を扱っている。

第2層: インフラ——サーバーは必ずどこかの国の物理的マシンである#

通信がどれほど隠されていても、サービスの本体はレンタルサーバーだ。Hydraは2015年から運営され、サーバーは管理会社Promserviceが管理していたと米司法省は主張している。2022年4月、ドイツ連邦刑事庁（BKA）はドイツ国内のサーバーと543BTC（約2500万ドル）のウォレットを押収した。ドイツ警察の発表によれば、利用者アカウントは約1700万、販売者アカウントは約1万9000あった。

Sky ECCのサーバーはフランスのクラウド事業者OVHのルーベデータセンターにあった（ComputerWeeklyの報道）。EncroChatも「フランスにサーバーを置く会社」という性質が捜査の入口になった。物理的な所在が管轄を作り、管轄が捜査の入口を作る。

onionサービスはこの問題を部分的に解決するが、完全には解決しない。onionのアドレスは公開鍵であり、発信元を隠すが、バックエンドのマシンは物理的に存在する。SSHホスト鍵やTLS証明書の再利用でクリアネット側と相関がつくリスクは、onionサイト運営の記事とShodan/Censysの記事で扱った。上級者の間で流通したとされるランサムウェア関連の手引書（本サイトが参照資料として保管している文書を含む）にも、月150ドル程度で借りるサーバーが出てくる。ここで挙げた事例のインフラは借り物であり、請求と登録の痕跡は支払い側に残る。

一般の利用者にとっては、自分が使うサービスの「下」に何があるかを問う練習になる。ドメインの名義、VPSの管轄、バックエンドの物理的所在。この設計は匿名ドメインの記事、匿名VPS比較、edge/origin分離の実装で具体的に扱っている。

第3層: 金融——公開台帳と、どうしても存在する出口#

Hydraの取引はBitcoinで行われ、市場内蔵の混合機能が追跡を難しくしていたとドイツ警察は述べている。それでも崩壊の形は「混合の解読」ではなく「サーバーごとの押収」だった。混合機能が生きた記録とともに押収されれば、混合は追跡を難しくする装置ではなく、取引一覧が入った箱になる。

Moneroへの移行は進んだ。2025年6月に摘発された闇市場Archetypは、2020年5月からの約5年で61万人超の利用者と、Monero建てで約2億5000万ユーロの取引量を積んでいた（BleepingComputer）。ただし、Archetypの摘発がどの経路で進んだかは、サーバーへの措置とスペインでの管理者逮捕という当局の発表の範囲では明らかにされていない。Moneroはチェーン上の匿名性を高めるが、トレーサビリティの記事で繰り返し書いてきたとおり、崩れるのはチェーンの外側、つまり出口だ。OxyMonsterの投げ銭アドレスから本人が管理する仲介サイトのウォレットへ直接送金した経路、Bitfinex事件で秘密鍵ファイルがオンラインアカウントに保存されていた事実、そしてno-KYC取引所のTradeOgreがカナダで閉鎖された事実は、いずれも同じ点を指す。お金はいつか実名の区画に戻る。その出口が結節点になる。

追跡の手法そのものはチェーン解析の記事で、出口の設計はXMR→BTC変換とUSDCへの支払い事例で扱っている。一般の利用者への問いは一つに絞れる。自分の区画のお金は、何段階の出口を通って実名に戻るか。その段数を数えたことがあるか。

第4層: 運営と通信手段——相手に読ませるために必ず残る記録#

匿名の組織でも、人と人は通信でつながる。PGPで暗号化されたメール、XMPP（Jabber）のチャット、フォーラムのDM、そして近年ではアフィリエイトパネルだ。

Contiの内部通信はJabberサーバーのログに残っていた。2022年2月末、内部アクセスを持つ人物が6万件超のメッセージを漏えいし、その後10万件超が追加された。内容は犯行の調整だけでなく、採用面接、給与、経費の精算、他グループとの関係にまで及んだ。LockBitのアフィリエイトパネルも、2024年2月のOperation Cronosで捜査機関に掌握された。Europolの発表によれば、データの持ち出しやインフラに使われた1万4000を超える不正アカウントが特定され、200を超える暗号資産アカウントが凍結された。さらに2025年5月には、警察ではなく正体不明の第三者がパネルのデータベースを奪って公開した（Infosecurity Magazine、Trellix）。

エンドツーエンド暗号は中継者に内容を読ませないが、中継サーバーがログを残すことまでは防がない。送信者と受信者の関係、頻度、時刻はメタデータとして残る。組織で使う通信は、参加者全員の痕跡の合計になる。

一般の利用者にとっての教訓は、自分が選んだサービスが「サーバー側に何を残すか」を知ることだ。連絡先の関係そのものが情報になる点は、メタデータの考え方としてSNS運用の記事と共通している。

第5層: 端末と物理——区画が1台のマシンに載るとき#

OxyMonster事例で詳しく扱ったとおり、匿名の区画の鍵・認証情報・ウォレットが1台のノートPCに同居し、そのパスワードを本人が申告した瞬間、すべての区画が同時に開いた。AlphaBayのCazesは家宅捜索時に管理者アカウントでログインしたままのノートPCを寝室に残していたと米政府の没収訴状は述べている。Ulbrichtは図書館で、ロックされていないノートPCを開いたまま扱っていた場面で逮捕された。

端末は、通信・金融・身元のすべての区画が物理的に合流する点だ。だから摘発の最後の一撃は端末に落ちることが多い。暗号化は強力な防御だが、パスワードを本人が渡せば守りにならないのは暗号化の欠陥ではなく運用の欠陥だ。

第6層: 組織と人——匿名化は全員の合計である#

個人の匿名化は自分の運用で完結するが、組織の匿名化は参加者全員の運用の合計でしかない。アフィリエイトモデルのランサムウェアは、この構造を極端にした形だ。LockBitは少なくとも120カ国で2500以上の被害を出し、少なくとも5億ドルの身代金を得たと、米司法省は2025年3月の発表で述べている。犯行者と作成者と運営者が別々に存在し、誰か一人の失敗が全体に波及する。

Contiの崩壊は、この層の脆さの典型だ。親露的な声明の直後に、内部アクセスを持つ人物がサーバーのログを持ち出して公開した。漏えいの動機は、報道と解析報告では声明への反発と推定されている。またLockBitのパネルデータは、警察ではなく正体不明の第三者に奪われた。敵は捜査機関だけではない。

層をまたぐ移動が痕跡になる#

6層を見下ろすと、一つのパターンが見える。崩壊点は単一の層の内部にあるより、層をまたぐ継ぎ目にあることが多い。

EncroChatからSky ECCへ、Sky ECCからANOMへという「暗号化携帯の乗り換えカスケード」はその極端な例だ。前の提供者が摘発されるたびに利用者が次へ移り、次の提供者は捜査機関が用意したものだった。移住するという行為自体が、利用者を捜査機関の用意した入口へ導いた。WSMのVPNの切れ目も、通信層とインフラ層の継ぎ目が開いた瞬間だ。OxyMonsterの投げ銭も、市場の金融層（混合処理）から個人の金融層（仲介サイト）への継ぎ目だった。

一般の利用者の場合も同じで、VPNとTorの切り替え、匿名メールと実名メールの往復、匿名SNSと実名SNSの相互フォロー——層をまたぐ接点が最も露出が多い。VPN over Tor / Tor over VPNの記事が「構成の切替は新しい失敗を生む」と書くのは、この理由からだ。

一般の読者にとっての6層#

犯罪者向けの地図は、そのまま一般の読者の点検リストに翻訳できる。

層犯罪事例の崩壊点一般の読者の点検事項
通信提供者側の鍵・サーバー（Ennetcom（当局の説明）、ANOM）メッセンジャーの鍵管理、VPN事業者の管轄と監査
インフラサーバーの物理的所在（Hydra、Sky ECC）自分のサイトのorigin、DNS履歴、ホスト鍵の再利用
金融出口の結節点（LocalBitcoins、取引所）区画ごとの支払い手段の分離、出口の段数
運営サーバー側ログ、パネル（Conti、LockBit）連携先が残す記録、グループチャットの中身
端末区画の同居、パスワードの申告端末の分離、ディスク暗号化、国境の想定
組織内部者の漏えい、競争者（Conti）共同作業者・外部委託先の運用も自分のOPSEC

限界と残るリスク#

繰り返しになるが、ここに並ぶのは失敗した事例だけだ。6層のどれを完璧にしても他の層で実名とつながっていれば崩れる、というこのサイトの基本テーゼは、この記事の事例からは確認できる。逆に「6層を全部守れば安全」とは書けない。層の全部を完全に守り続けた人物は、定義上、記録に残らない。

出典の性格にも偏りがある。訴状や捜査機関の発表は検察側・捜査側の主張であり、裁判で争われる部分がある。報道の一部は匿名の情報源に基づく。この記事で扱った数字は、明記した出典の範囲で正確だが、捜査機関自身がすべての手法を公開しているわけではない点は常に残る。

そして、この記事の構造理解は「誰かを暴く技術」の解説ではない。実務的には、自分の痕跡の点検に使うための地図だ。

まとめ#

読者への実務指示は三つに収斂する。

匿名で使う通信の提供者について、鍵の所在とサーバーの管轄を一度確かめること。自分のインフラとお金について、実名に戻る出口の段数と、そこに誰の名前が残るかを書き出すこと。そして、自分の運用が他人を含んでいる場合（共同作業、外部委託、家族の端末）、その人の運用の崩壊も自分の崩壊として数えること。

個別の事例を深掘りしたい読者は、高度な犯罪者のOPSECとミスのカタログへ。総論に戻るならデアノニマイゼーションの概要からどうぞ。

出典#