サイバー犯罪サプライチェーンに大打撃：国際作戦「Operation Endgame」がマルウェア基盤を崩壊

2026年6月15日から19日にかけて、国際法執行機関による「Operation Endgame」の最新フェーズが実行され、ランサムウェアやデータ窃取攻撃の初期段階で使われる3つのマルウェア——ローダー「SocGholish」、ボットネット「Amadey」、情報窃取型マルウェア「StealC」——の犯罪インフラが解体されました。この作戦は、個別のランサムウェアグループを追及するのではなく、サイバー犯罪の「サプライチェーン」の根幹を断つという戦略転換を象徴しています 。

作戦の主な成果

• サーバ326台を解体、ドメイン142件を停止 。ドイツ連邦刑事局（BKA）も「320台超のサーバと140件超のドメイン」と報告しており、数字は整合しています 。
• SocGholish関連で約1万5000のウェブサイトをクリーンアップ 。
• 4100万ユーロ（約47億円 / 約75億円）相当の犯罪由来暗号資産を特定・凍結 。
• 38万5000人以上の被害者から盗まれた約2700万件の認証情報を回収 。
• 2026年5月上旬の2週間だけで、AmadeyとStealCに関連する14万台超の端末の感染を確認 。

標的となったサイバー犯罪エコシステム

• SocGholish: 侵害されたウェブサイトに悪質なJavaScriptを注入する、広く使われるマルウェアローダー。ランサムウェアグループへの初期アクセスを提供する「ブローカー」として機能 。
• Amadey: ボットネット兼ローダー。StealCなどの第2段階ペイロードを感染端末に配信 。
• StealC: 「サービスとしての情報窃取（Infostealer as a Service）」として販売され、認証情報やデータを盗み出す 。

これらのマルウェアは、ロシア語圏のサイバー犯罪グループ「Evil Corp」など、複数のランサムウェア関連組織によって使用されていました 。

関与した組織・企業

• 法執行機関: カナダ、デンマーク、ドイツ、オランダ、英国、米国、ユーロポール（Europol）、ユーロジャスト（Eurojust） 。
• 民間パートナー: Microsoft（デジタル犯罪対策部門DCU）、Bitdefender、IBM X-Force、Proofpoint、Infoblox、Shadowserver Foundation、Orange Cyberdefense、Bitsight、ESET 。

Microsoftは独自に、裁判所命令に基づき200以上のC2（指令）サーバのドメインとIPアドレスを停止。約1万8000台の感染端末を特定し、通信事業者と連携した保護措置を開始しました 。また、米フロリダ州連邦地裁に対して、マルウェア運営者とそのアフィリエイトを相手取った訴訟も提起しています 。

戦略的意義：ランサムウェアの「仮想感染連鎖」を断つ

Operation Endgameのこのフェーズは、サイバー犯罪の「組み立てライン」 を一度に破壊することを目的としています。SocGholish、Amadey、StealCという3つの異なるが連鎖するツールを同時に標的にすることで、法執行機関はランサムウェア攻撃の入口（Initial Access）を担うインフラを無力化しました 。

ユーロポールはこれを「サイバー犯罪ネットワークへの画期的な打撃」と評価し、犯罪バリューチェーン全体を弱体化させたとしています 。このアプローチは、感染がランサムウェアの展開に至る前の段階で阻止する「予防的摘発」のモデルとして、今後のサイバー犯罪対策の先例となる可能性があります。

数値に関する補足

BKAのリリースは「320台超のサーバと140件超のドメイン」と報告しているのに対し 、他のソースは正確に「326台のサーバと142件のドメイン」と報じています 。このわずかな差異は丸め処理によるもので、作戦の規模に実質的な影響はありません。