はじめに（この記事で分かること）#

「徹底的に匿名化する高度な犯罪者はどのようにしているのか」。この問いをネットで調べると、神話が二つ返ってくる。一つは「国家レベルの技術で完全に消えている」という神話。もう一つは「捕まるのは設備投資をしなかった間抜けだけ」という神話だ。

どちらも記録と一致しない。この記事は、観測可能な記録——漏えいした内部文書の解析、裁判記録、制裁リスト、捜査機関の発表——から、高度な層の運用の実像を3つの角度（組織・教材・長期運営）で見る。そのうえで、徹底的に見えた者たちが実際に崩れた4カ所（インフラの物理、提供者、仲間、押収された端末）をたどる。

前の記事で匿名化を6層に分解した。この記事はその上級編で、層を横断して「徹底とは何か、その限界はどこか」を問う。

前提: 脅威モデルの整理#

ここで扱うのは、国家レベルの捜査資源を投じられ、かつ長期間相手をし続ける立場に立たれた者たちだ。この脅威モデルに一般の読者が置かれることはほとんどない。それでも読む価値があるのは、徹底した運用の「形」が一般のOPSEC設計の上限を知る材料になるからであり、崩壊点が総論の4経路と同じ場所にあるからだ。

徹底の実像（1）: 組織としての専門化#

ランサムウェアの世界で、もっとも詳細な内部資料が手に入ったのはContiだった。2022年2月末、内部アクセスを持つ人物がJabber（XMPP）サーバーのログ6万件超を漏えいし、その後10万件超が追加された。解析報告（Check Point Research、BleepingComputerほか）が描く内部の様子は、犯罪集団というより中小のIT企業だ。採用担当が応募者の履歴書を匿名化してから技術担当に渡し、応募者の身元が採用担当者と技術担当者の間でさえ共有されないよう配慮する。給与と賞与が定められ、経費が精算され、オフィスに出勤する開発者がいる。活動はRocket.Chatで日々報告される。

つまり高度な層の匿名化の第一の形は、技術的な隠蔽ではなく役割の分離だ。誰が開発し、誰が侵入し、誰が交渉し、誰が金を動かすかが分かれる。LockBitのアフィリエイトモデルはこの分離を産業化した。米司法省の発表によれば、LockBitは少なくとも120カ国で2500以上の被害を出し、少なくとも5億ドルの身代金を得た。運営者はプラットフォームを提供し、実行はアフィリエイトが担う。実行者が捕まっても運営者は残り、運営者が特定されても実行者は残る。分離そのものが生存戦略になっている。

徹底の実像（2）: 教材と規律の存在#

上級者の運用規律が「文章」として残っている例がある。LockBitのアフィリエイトだった人物が書いたとされる「Bassterlord Networking Manual」は、2021年に初版が出て、第二版が2022年末から2023年にかけて登場し、限定販売の後に流出した。脅威インテリジェンス企業の分析（Analyst1）や報道（PRX「Click Here」の本人インタビュー）がこの経緯を記録している。本サイトも参照資料としてこの文書を保管しており、内容の解釈には使えるが、手順の再紹介はこの記事の目的ではない。

文書の中身をOPSECの観点だけから見ると、作業環境や通信手段の分離、借り捨てのサーバーといった運用の規律に触れる一方で、文書の大半は標的側への侵入と拡大の手順に費やされており、筆者自身の身元の保護についての記述は薄い。これが本稿の読みだ。USENIX Security 2021の定量研究は、闇市場の販売者1,733人のうち、盗んだカード情報やマルウェアなどデジタル商品を売る層のほうが薬物を売る層より安全でない慣行が多かったと報告し、理由の候補としてリスク認識の差などを挙げている。攻撃側の技術への関心が自分自身の痕跡の管理より先に立つ、というのはそこからLamerzが引き出す読みであり、論文の結論ではない。少なくとも手引書の紙面配分を見る限り、高度な層でさえ関心の重心はターゲット側にある。

筆者本人のその後も参考になる。米司法省は2024年2月、LockBitへの関与でArtur SungatovとIvan Kondratyevを起訴し、Kondratyevは「Bassterlord」のハンドルで知られると発表した。米財務省の制裁指定は、彼の複数のハンドル、メールアドレス、Bitcoinアドレス、パスポート番号を一覧として世界に公開した。ハンドル群の間の接続が、公的な文書によって確定した形だ。教材を書いた人物自身が、自分の名前を束ねる一覧表の中に収まることになった。

徹底の実像（3）: 長期運営#

徹底の評価軸は「高度さ」ではなく「持続年数」だ。Hydraは2015年から約7年間運営された。米司法省によれば、2015年以降に約52億ドルの暗号資産を受け取り、2021年の闇市場関連の暗号資産取引の約80%を占めた。ドイツ警察の集計では、利用者アカウント約1700万、販売者アカウント約1万9000に達していた。

7年という時間が何を意味するか。7年間で市場の運営者は、少なくとも一回以上の技術的失敗、内輪の揉め、周辺人物の逮捕、競争相手との衝突を経験しうる。それでも運営が続いたのは、単一の人物の運用ではなく、分散した役割と、置き換え可能なインフラと、市場としての評判経済が機能していたからだ。匿名性を「個人の技能」として語る話は、このスケールでは成立しない。

それでも崩れた場所（1）: インフラの物理的所在#

Hydraの崩壊は技術的な解読ではなかった。2022年4月5日、ドイツ連邦刑事庁がドイツ国内のサーバーを押収した。押収と同時に543BTCのウォレットが確保され、米国はサーバー管理者とされる人物を起訴した。7年の運営を終わらせたのは、サーバーが置かれていた国の刑事司法だった。

EncroChatはフランスにサーバーを置く会社だった。Sky ECCはフランスのOVHのデータセンターにサーバーを置いていた。いずれも「通信の中身が読めない」設計を謳いながら、物理的なマシンの所在が管轄を作り、管轄が介入の法的根拠を作った。onionサービスで発信元を隠しても、バックエンドのマシンは地球のどこかのラックに存在する。onion運営の記事で扱ったとおり、場所は消せない。消せるのは「場所と運営者をつなぐ記録」だけだ。

それでも崩れた場所（2）: 提供者の崩壊#

EncroChat（2020年7月）→Sky ECC（2021年3月）→ANOM（2021年6月）という暗号化携帯の連鎖は、この分野で最も教訓的な構造だ。前の提供者が摘発されるたびに、利用者は次の提供者へ移った。Europolは、Sky ECC摘発後に利用者がANOMへ移住したことを「意図的で戦略的な側面」と明言している。つまり最後の受け皿は、FBIが運営していた。

利用者たちがANOMを選んだ理由は、提供者の暗号強度でも監査でもなく、仲間が薦めたからだったと報じられている。信頼の根拠が評判であれば、評判は偽装できる。ANOMは1万2000台以上、300以上の組織、2700万件のメッセージという規模で、この構造の脆さを実証した。鍵を提供者に預ける設計の脆さは、当局が鍵はサーバー側にあったと説明したEnnetcomの事例（弁護側は鍵は別の組織にあったと主張した）と同じ根源を持つ。

それでも崩れた場所（3）: 仲間と組織の内部#

Contiの漏えいは、外部のハッキングではなく内輪の政治から始まった。親露的な声明がウクライナ系の関係者の離反を招き、内部アクセスを持つ人物がサーバーのログを持って出て行った。漏えいされたメッセージには、Bitcoinアドレス239件（約1310万ドル相当）や、メンバー間のハンドルと人間関係まで含まれていた。ドイツ連邦刑事庁は2025年、TrickBot/Contiの首格「Stern」の正体を、漏えいチャットの解析を前提としてKovalevという人物に特定したとする公表文書を出した。

LockBitにも同じ型が来たが、向きが違う。2025年5月、LockBitのアフィリエイトパネルが警察ではなく匿名の第三者によって奪われ、2024年12月から2025年4月までの交渉記録と収益データがSQLのダンプとして公開された。サイトには「Don't do crime CRIME IS BAD xoxo from Prague」という書き込みが残された。運営者はこの漏えいを認めるメッセージを交わしたと報じられている。犯罪組織にとって、捜査機関以外の敵——内部者、競争相手、気まぐれな第三者——は実在する。

組織が大きくなるほど、匿名性は「全員の運用の最小値」に下がる。一人が鍵を書き留めれば全体が書き留めたことになる。これは企業のインシデント対応と同じ構造で、防御側の読者にはおなじみの議論のはずだ。

それでも崩れた場所（4）: 押収された端末に残った証拠#

LockBitの開発者とされるRostislav Panevは2024年8月にイスラエルで米国の要請により逮捕され、2025年3月に身柄が米国へ移された。米司法省の発表によれば、逮捕時に彼のコンピュータには、ダークウェブ上に置かれ、LockBitのビルダー群のソースコードを保管するリポジトリの管理者認証情報があり、そのリポジトリにはデータ窃取ツールStealBitのソースコードも置かれていた。さらに、アフィリエイト向けコントロールパネルへのアクセス認証情報も見つかった。長年LockBitの開発に従事し、暗号資産で報酬を受け取っていたこと自体は、取調べの中で本人が認めたとされる。逮捕に至った経緯そのものは発表では詳しく述べられていないが、組織の技術的な中核を担う人物の端末に、組織の核心への鍵が残っていたことは確かだ。

運営者側のKhoroshevは「LockBitSupp」として2024年5月に米国によって特定・起訴され、情報提供に最大1000万ドルの懸賞がかけられた。ただし、米司法省の発表時点で身柄は確保されていない。端末に残った証拠と、管轄という最後の壁は、別の話として並べる必要がある。

管轄という最後の壁と、公記録による列挙#

起訴されても制裁されても、身柄が確保されない例がある。Evil Corpの指導者とされるMaksim Yakubetsは2019年に米国で起訴され、情報提供に500万ドルの懸賞がかけられた。調査報道（Meduza）は、モスクワでランボルギーニを運転する彼の姿を描写した。2024年10月、米財務省はEvil Corp関係者の追加指定を行い、LockBitのアフィリエイトとして活動していた関係者の存在もNCAの発表で示された。彼らの「安全」は匿名性ではなく地理と政治で維持されている。

この点の一般読者への意味は二つある。第一に、事例の「捕まっていない」は「安全」を意味しない。第二に、制裁リストという公記録は、匿名ハンドル群を実名に束ねて世界に公開する装置として機能している。自分では何も失敗していなくても、他人の失敗や組織の崩壊によって、自分の識別子が誰かの一覧表に並ぶことがある。匿名性は個人の資産ではなく、ネットワークの中で誰かと共有されているという見方が、ここから得られる。

時間という対抗手段#

最後に時間軸を置く。2025年5月のOperation RapTorでは、10カ国で270人が逮捕された。米司法省の発表によれば、この作戦は過去に押収された闇市場（Nemesis、Tor2Door、Bohemia、Kingdom）のインフラから得た情報の上に構築されている。Europolの発表は「匿名という幻想の陰に隠れている者たち」という表現を使った。

同年6月には、Archetyp Marketが摘発された。2020年5月からの約5年の運営、61万人超の利用者、Monero建て約2億5000万ユーロの取引。Moneroを使い、Tor上で動き、5年続いた市場でも、摘発は起きた。ただし、どの経路で特定に至ったかは、サーバーへの措置と管理者の逮捕という当局の発表の範囲では明らかにされていない。確かなのは、RapTorが示したとおり過去の押収データが後の捜査に使われることと、チェーン解析の記事で書いたとおり台帳の記録は消えず、将来の手法で読めるようになる可能性が残ることだ。

限界と残るリスク#

この記事の材料には三つの偏りがある。第一に、漏えい文書（Conti、LockBitパネル）は完全な記録ではない。欠けたメッセージがあり、暗号化されたままで読めない部分もある。第二に、捜査機関の発表は捜査側の主張であり、起訴は有罪を意味しない。KondratyevやKovalevは起訴・制裁・国際手配の対象ではあるが、各発表の時点で身柄は確保されていない（本稿は2026年11月時点のその後の状況を確認していない）。第三に、ここに現れない最も重要なデータ——完全な運用で摘発されずにいる者たちのデータ——は定義上存在しない。

また、この記事は「どうすれば捕まらないか」の解説ではない。実務的には、徹底という言葉の実像と限界を、一般の読者のOPSEC設計の感度合わせに使うためのものだ。

まとめ#

高度な層の匿名化は、技術の選択ではなく三つの構造で実現されていた。役割の分離（組織）、規律の文書化（教材）、長期の持続（市場）。そして崩壊点は、これらの構造が自分で管理していない何かに依存している場所——サーバーの物理的所在、通信の提供者、仲間の運用、ついには第三者の気まぐれ——に開いていた。

防御側の読者が持ち帰るべき問いは、犯罪者向けの教訓の裏返しとして、次の三つだ。自分のインフラはどの国のどの事業者の物理マシンで動いているか。自分の通信と鍵は誰のサーバーを通るか。自分の運用は他人の運用に依存していないか。依存している場合、その人の失敗を自分のリスクとして数えているか。

この記事で扱った事例の個々の失敗パターンを、さらに細かい粒度で並べたものがミスのカタログだ。層ごとの整理に戻るなら6層の解剖を、全体の枠組みには総論をどうぞ。

出典#