インターンした企業へのDDoS攻撃容疑で摘発された事案についてまとめてみた

2024年11月27日、京都府警は京都市内の企業に対しDDoS攻撃を行った疑いとして会社役員の男とその妻を逮捕しました。男は攻撃を行った企業へ過去にインターンを行っており、その後に業務提携を持ち掛けるも実現しなかったと報じられています。ここでは関連する情報をまとめます。

実行者に依頼しDDoS攻撃

DDoS攻撃の被害にあったのは京都市中京区に本社をおくスポーツジムの紹介サイトを運営するIT企業。攻撃は2024年8月から9月にかけて合計10回確認されており、同社が京都府警に相談を行っていた。攻撃を受けた8月には広告契約が解約されるなどの影響もあった。
京都府警サイバー捜査課が電子計算機損壊等業務妨害の容疑で逮捕したのは中国籍の会社役員の男とその妻の二人。二人は氏名不詳の人物（攻撃の実行者）と共謀し、2024年9月2日9時40分頃から10時10分頃まで当該企業のサーバーに対し大量のデータを送信。同社のWebサイトを約6時間半にわたって閲覧不能にさせた疑い。容疑に対し、男は妻とは共謀を行っていないとして否認、妻は認める供述を行っている。*1 男は2024年8月にも同社のWebサイトに対して攻撃を行っていたとして2回逮捕されており、今回のDDoS攻撃は再逮捕（逮捕は3回目）となる。*2
同社と男の関係について、男は2019年に同社へ就業体験（インターン）を行っていた。その後、2024年7月末頃から8月にかけて業務提携や資金提供の持ちかけを同社へ行っていたが実現することはなかった。京都府警は男らが利益を得る目的でDDoS攻撃の依頼を行っていたとみている。*3 *4
会社には男から「自分ならDDoS攻撃を阻止できる」「解決したければ連絡を」といった趣旨の連絡がSMSで届いていた。*5
男らに実際に攻撃を仕掛ける専門的な知識はなかったことから、仲介役を介して攻撃実行者にDDoS攻撃の依頼をWeChatを通じて行っていた。DDoS攻撃1回あたり、仲介役に対しては約750元（約1万5千円）を支払い、攻撃の依頼を持ち掛けていたとみられる。依頼先は中国内の総合ポータルサイトに掲示されていたWebサイトの脆弱性診断の広告から知ったとされる。