Telegramの方針転換：サイバー犯罪者たちは新たなデータ共有ルールにどう反応しているか

Telegramは最近、プライバシーポリシーを更新し、大きな波紋を呼んだ。これは、サイバー犯罪者を含むプライバシー重視のユーザーにとっての「安息の地」として長らく築いてきた評判から、大きく方向転換したことを示している。これまで「手出しをしない」というモデレーション方針で知られていたこのメッセージングプラットフォームは、今後、裁判所の命令に基づき、ユーザーの電話番号やIPアドレスを法執行機関に提供することになる。この変更は、従来の「テロ関連犯罪のみ」という制限を超え、さまざまな犯罪捜査に適用される。新ポリシーの詳細については、 Telegramのプライバシーポリシーページでご確認いただけます。

Telegramの新しいポリシーがプライバシーとセキュリティに与える影響

今回の更新は、テレグラムとその創業者パベル・ドゥロフ氏が最近フランスで身柄を拘束されたことを受け、同社に対する法的圧力が高まる中で行われたものです。当局は、プラットフォーム上で横行する違法行為に対処するようテレグラムに圧力をかけており、それが最終的に今回の抜本的なポリシー更新につながりました。ドゥロフ氏の身柄拘束に関する詳細については、当社のブログ記事をご覧ください：「ドゥロフ氏の逮捕とテレグラムの変革」。

長年にわたり、Telegramは法執行機関の監視の目を逃れて活動しようとする人々にとって、定番のプラットフォームでした。詳細については、当社のレポートをご覧ください：『Telegram：メッセンジャーがサイバー犯罪のエコシステムへと変貌した経緯』。今回の更新は、同プラットフォームが今後、刑事捜査において当局と協力することになるため、転換点を示すものです。

テレグラムのポリシー更新に対し、サイバー犯罪者たちはどのように反応しているか

KELAの調査によると、こうした変化に対してサイバー犯罪者コミュニティ内で広範な不安が広がっていることが明らかになった。以下のようなグループ、例えば 「Ghosts of Palestine」 といったグループは、Telegramを離れ、プライバシーを重視したプラットフォームを探す意向を公に表明している。 また、別の著名なハクティビスト集団であるRipperSecは、すでに Discord上でバックアップチャンネルの構築をすでに開始しており、Telegramが法執行機関と協力することが自分たちの匿名性に脅威上でバックアップチャンネルの構築を始めており、テレグラムが法執行機関と協力することが自分たちの匿名性に脅威をもたらすと見込んでいる。 同じくハクティビストであるもハクティビスト集団であり、シグナル（Signal）のグループを作成し、まもなくテレグラムのチャンネルを閉鎖すると約束した。 GlorySec のハクティビストたちは、FacebookやThreadsのアカウントを「作成したかもしれないし、していないかもしれない」とさえ言及したが、実際には何の行動も起こしていない。

「Ghost of Palestine」が、Telegramに代わる手段を探す意向を表明

一方、他のグループはより現実的なアプローチをとっている。 例えば、UserSecは、例えば現在、Telegramで匿名性を維持する方法に関するチュートリアルを提供しており、新たなデータ共有規則の下で検知を回避するためのヒントを共有している。 「BF Repo V3 Chat」 グループ（BreachForumsのユーザーに関連するTelegramチャット）では、メンバーたちが、身元が露見するリスクを低減しつつ活動を継続するため、TelegramのGUIを基盤として独自のメッセージングプラットフォームを構築するというアイデアさえ提案している。

全体として、KELAでは、さまざまなサイバー犯罪者たちが JabberやMatrix、および Session をTelegramの代替手段として議論しているのを確認していますが、その目的は主にプライベートメッセージや非公開グループのためです。一方、Telegramは彼らに、違法行為をめぐる公開コミュニティを構築する機会を提供しています。これまでのところ、 Discord のみが、同様の機能を提供できるプラットフォームとして挙げられており、 Signal のグループも挙げられている。

こうした初期の反応にもかかわらず、テレグラムからサイバー犯罪者が一斉に離脱する事態はまだ起きていない。しかし、こうした議論は、プラットフォームの転換を受けてグループや個人が今後の対応を検討していることから、将来的な動きの可能性を示唆している。

Telegramの方針転換は犯罪活動に影響を与えるか？

この方針変更が、Telegram上の犯罪活動を大幅に混乱させ、それらをDiscordや他のプラットフォームへと追いやる可能性があるかどうかは、現時点ではまだ不明である。サイバー犯罪者たちは確かにこの件について懸念を表明しているが、Telegram上での彼らの活動は規模があまりにも大きいため、すぐに別のプラットフォームへ移行することは難しい。

例えば、情報窃取型マルウェアの運営者は、Telegramを「Clouds of Logs」を通じて収集したデータを販売・共有する目的だけでなく、他にも様々な用途に利用しています。詳細は当社のブログをご覧ください：「Telegramのログの雲」――あなたのネットワークへの最速の入り口。汎用的な情報窃取ツール（インフォスティーラー）の登場により、できるだけ多くの人を感染させるために協力し合うサイバー犯罪組織やチームが台頭しました。活動を調整するために、多くのグループがTelegramを利用し、あらゆる種類のツールを構築しています。具体的には、新たなトラフィッカーの募集やチームの宣伝を行うチャンネル、活動の調整や議論のための公開・非公開チャット、タスクや支払いの自動化を行うTelegramボットなどです。このような行動は、多くの「マルウェア・アズ・ア・サービス（MaaS）」組織だけでなく、ハクティビストやその他のサイバー犯罪者の間でも一般的です。

さらに、Telegramでは新たに設置されたAIを活用した専任のモデレーターチームが、検索機能から違法なコンテンツを監視・削除する取り組みを強化しています。こうしたモデレーションへの注力の強化により、サイバー犯罪者が同プラットフォーム上で公然と活動することはより困難になる可能性があります。しかし、彼らの多くはこうした障壁に対処することに慣れています。例えば、次のようなグループに見られるように UserSecのようなグループに見られるように、こうした新たな課題にもかかわらず、抜け穴を悪用したり、活動を継続するための戦略を練ったりしようとする者もいるかもしれない。KELAは、サイバー犯罪者がバックアップ用のTelegramチャンネルを長らく維持していることを把握している。通常、メインのチャンネルが禁止されると、彼らはフォロワーに対して事前に宣伝しておいた別のチャンネルに切り替える。

この方針転換によって、Telegram上のサイバー犯罪が根絶されるわけではないが、短期的にも長期的にも、脅威アクターの活動様式に変化をもたらす可能性が高い。

脅威インテリジェンスにとってこれが意味すること：KELAによる洞察

KELAのような企業にとって、こうした変化は課題であると同時にチャンスでもあります。一部のサイバー犯罪者は他のプラットフォームに移行する可能性もありますが、KELAの比類なきカバー範囲により、幅広いフォーラムやメッセージングアプリにおける活動を継続的に追跡・監視することが可能です。重要なのは、適切な情報源を知っていることだけではありません。これらのアンダーグラウンドなコミュニティへのアクセスを確保することこそが肝心なのです。KELAは、専門家の知見と最先端技術を組み合わせることで、他の情報プロバイダーには見つけにくいフォーラムやチャネルへの独自のアクセスを実現しています。

この絶え間ない警戒態勢により、私たちは新たなトレンドを先取りし、脅威アクターの動きや、彼らがどのように検知を回避しようとしているかを追跡しています。サイバー犯罪の状況の変化に迅速に対応することで、KELAはクライアントに実践的な知見を提供し、Telegramのようなプラットフォームが進化しても、クライアントが防御戦略において常に先手を打てるよう支援しています。

結論：テレグラムの将来とサイバー犯罪

Telegramの最近のポリシー変更は、高まる法的圧力への明確な対応であると同時に、同プラットフォームが違法行為に悪用されるのを抑制するという、より広範な必要性に応えるものである。新しい規則により、一部の犯罪者がより安全なプラットフォームへと移行する可能性はあるものの、Telegramには9億人のアクティブユーザーが存在するため、当面の間はサイバー犯罪のエコシステムにおいて重要な役割を果たし続けるだろう。

こうした変化が定着する中、KELAは、脅威アクターが進化する状況にどのように適応しているかに関する重要な情報を引き続き提供し、セキュリティチームが悪意のある活動に常に一歩先んじられるよう支援していきます。