～Ragnar Lockerが教えてくれた、サイバー犯罪を観察するということ～
本記事は、私が2020年当時に行った個人的な観察・調査記録を、2026年現在の知見から再評価したケーススタディです。
犯罪者との接触を推奨するものではありません。また、当時の記録には、その時点での推測も含まれています。本記事では、事実・観察・推測を可能な限り区別して記載します。
なぜ、2026年の今になってRagnar Lockerなのか。
Ragnar Lockerは、現在では事実上活動を終えたランサムウェアグループとして認識されています。
「なぜ今さらRagnar Lockerなのか。」
そう思われる方もいるでしょう。
しかし、本記事で語りたいのはRagnar Lockerそのものではありません。
私が語りたいのは、サイバー犯罪を観察するということ。
そして…
サイバー犯罪を理解するには、技術だけではなく、人間を理解することも重要である。
ということなんです。
私は過去を懐かしむためにRagnar Lockerを振り返るのではありません。
過去を教材として、現在、そして未来のサイバー犯罪を理解したい。
その思いから、この記録を(限定)公開することにしました。
きっかけはCAPCOM事件だった
2020年11月。
CAPCOMがRagnar Lockerによるランサムウェア攻撃を受け、大きなニュースとなりました。
当時の私は、サイバーセキュリティーという世界、特にサイバー犯罪に強い興味を持ち始めた頃でした。
事件そのものを調べるうちに、一つの疑問が頭から離れなくなります。
「攻撃者とは、どのような人間なのだろうか」？
技術は書籍でも学べます。
マルウェアも分析できます。
しかし、その向こう側にいる人間は見えません。
「人（攻撃者）はどんな連中なのか知りたい」
私はそう考え、先ずはRagnar_Lockerのリークサイトをじっくりと観察することから始めようと行動に移しました。
2020年「情報がない」
さ〜てはじめるぞ！
久しぶりにPCの前へ張り切って腰を下ろしたときです、その直後から大きな問題にぶち当たりました。
当時、日本語サイトでは、Ragnar_Lockerについて詳しく解説した記事は一切存在していないも同然の状況でした。
「RaaS」
「二重恐喝」
「リークサイト」
今では広く知られるこれらの言葉も、当時はまだ一般的ではなかったと思います。
致し方なく、私は海外のセキュリティ企業や研究者の記事を読み漁りながら、自分自身でも情報を集め始めることにしました。
確か、米国のセキュリティーアナリストの個人ブログだったと思います。
Ragnar_Lockerが用いていたランサムノートの画像が、サイトページの端っこに、かろうじて判別可能な画質で掲載されていたのです。
早速、DarkWebに配置したRagnar_Lobkerの「リークサイト」のURLと、身代金交渉で用いたであろう「proton mailアドレス」をキーボードへ飛びつくように打ち込んでいました。
2020年当時保存していたRagnar Lockerリークサイト
余談にはなりますが、当時の個人的調査資料は全て紙媒体でドッチファイルに保管しています。
これは、今回の記事を執筆するにあたり、個人アーカイブから引っ張り出してきた紙媒体の画像です。
当該画像は、Ragnar_LokerがDarkWebに構築していたリークサイトのTOPページのものです。
サイトの最上部、ちょうど画面情報の「🔴赤枠」の中に、彼らが自ら管理する複数のドメインを“Our Domains”として公開していました。（12月中旬を過ぎた頃に削除）
当時、驚きつつも呆れたことを思い出します。
一般的には、簡単にアクセスできないと言われるDarkWebへ深く潜り、秘密裏に活動する犯罪グループにとって、本来ならば自分たちの素性は隠し通したいはずです。
にも関わらず「なぜ自分たちの入り口を自ら公開するのだろう。」
暫くの間、画面を見つめながら考え込んだものでした。
そこで考えたんですね。
DarkWebへ深く潜り込んで素性を隠し通しながら活動する犯罪組織であっても…
「(自己)承認欲求がある」のであろうと。
- 有名になりたい
- メジャーになりたい
- 認めてもらいたい
- 成功者になりたい
そうした「心の声」が聞こえて来たような気がしていました。
因みに、「Our Domeins」の一行には、4つのURLが書かれていました。そして右端の4つ目は、一般のウェブブラウザからもアクセス可能なトップレベルドメインが「.top」のURLでした。
ここで、少々話が横道に逸れますが・・・
このトップレベルドメインが「.top」のURLへ通常のGoogleブラウザ等でアクセスを試みると、なんとDarkWebに置かれたトップレベルドメインが「.onion」の彼らのリークサイトへリダイレクトされアクセスしてしまう危険な構成になっていました。
当時の私は、このリダイレクトを表層ウェブからDarkWebへの「ワープ」と呼称していたものです。
そして、当時の二重恐喝を用いる「ランサムウエア勃興期のグループ」の多くが、こうした手法を用いて「（自己）承認欲求」を満たそうとしていたように思います。
私の最初のチャレンジ
「ならば、一度話をしてみよう。」
私はRagnar Lockerが公開していた連絡先へメールを送ることにしました。
もちろん身代金交渉ではありません。
情報収集を装ったわけでもありません。
ましてや犯罪に協力する意思など一切ありません。
私が試みたのは、攻撃者という”人”を理解するためのコミュニケーションでした。
最初のメール
私はRagnar_Lockerが公開していた連絡先へ、そのためだけに用意した、今までどことも送受信したことのないProton mailアドレスからメールを送信してみました。
その内容は、相手を怒らせることなく、警戒心を与えないよう、丁寧な文章を心掛けつつ、基本的に彼らの技術力を称賛し、最大限の興味を抱いていること。そして、そのスキルについて学びたい、或いは知りたいと言った内容にまとめたものでした。
返信は約7時間後だった
約7時間後だったと思います。
返信？らしきメールが届きました。
但し、私が送信したメールへの返信という形を取っていませんでした。
それは、Microsoftのoutlookメールで届いていました。
日本語に訳するとこうなります。
「Hello,
こんにちは。
お元気でお過ごしのことと思います。
私たちは、Webサイトの設計・開発を主な事業とするWebデザイン会社です。
（ASP、ASP.NET、Java、Perl、PHPによる開発に対応しています。）
私たちは、50名のプロフェッショナルなデザイナー、開発者、専門スタッフからなる専任チームを擁しており、特にグラフィックデザイン、Flash、3Dデザインを得意としています。
高品質なサービスをご提供できることをお約束いたします。
海外企業の多くは、業務の一部または全体を当社へアウトソーシングすることで、大幅なコスト削減を実現しています。
ぜひ、貴社のお仕事をお手伝いする機会をいただき、私たちのサービスをご体験いただければ幸いです。
もしご興味がございましたら、ぜひご連絡ください。
よろしくお願いいたします。
Anshu」
拍子抜けでした。
返信は、想像していたような犯罪者然とした文面ではありませんでした。
むしろ、Web制作・開発会社を名乗る営業メールのような体裁だったことに唖然としたものです。
この時点で私は、相手がRagnar_Locker本体なのか、周辺人物なのか、あるいは便乗者なのかを判断できなくなっていました。
それどころか、彼等のメールアドレスを押収した捜査当局の捜査官による可能性さえも考慮したものです。
この私に送信されてきたメールについての評価
- 私が使用したのは、調査専用に新規作成したProton Mailであったこと。
- それまで誰ともメールのやり取りをしていないものであったこと。
- Ragnar_Lockerのランサムノート記載のアドレスへ送信した直後（約7時間後）だったこと。
そのタイミングで、この営業メールが届いた。
「偶然届いた営業メール」と片付けるには、少し出来過ぎているという印象でした。
一方で、このメール本文にはRagnar_ Lockerやランサムウェアを直接示す内容は一切ありません。
結果、「私が最初に受け取った返信らしきメールは、Web制作会社を名乗る営業メールだった。その意図は現在でも分からない」と考えています。
そして、Ragnar Lockerへ送ったはずの”私のメールアドレス”に返ってきた？のは、”犯罪者からの返信”ではなかった。少なくとも、表面上は『普通のWeb制作会社』を名乗る営業メールとしたものでした。
この瞬間から私は、「相手は何者なのか」という、新たな謎と向き合うことになったのです。
そして、ここから約一か月半。
その相手とメールによるやり取りを続けることになります。
私が見ていたのはメール本文だけではない
【図１】最初に受信したメールのヘッダー情報↓
私は…
メール本文だけを読んでいたわけではありませんでした。
ヘッダーも観察していました。
掲載した画像はその一部です。
IP。
サーバー。
タイムゾーン。
そして、時間です。
私は昔から、
場所は偽装できても、人の活動時間には一定の傾向が現れる。
そう考えていました。
もちろん、時間だけで人物は特定できません。
ましてや、犯罪グループともなれば、交代制で対応していた可能性もあります。
それでも、約一か月半という継続したやり取りの中では、
返信される時間帯や活動のリズムに、ある一定の傾向が見え始めます。
私にとってメールヘッダーは、相手を特定するための道具ではなく…
「相手を理解するための観察記録」でした。
【図１】メールヘッダーから見えた「時間」
2020年当時、私が着目していた情報
- 送信サーバーの時刻：+0530（インド標準時）
- 中継サーバーの時刻：+0000（UTC）
- 最終サーバーの時刻：-0700（北米山岳標準時／冬時間）
もちろん、これらがそのまま送信者の所在地を示すわけではありません。
しかし、「人は、時間をごまかすことが難しい。」
この考え方は、当時も今も私の観察の基本になっています。
私はメールヘッダーを解析していたわけでもありませんでした。
自分でも気付かないうちに自然と…
「時間は人間が残す痕跡であると、時間を通して人間を観察していたように思います。
登場人物は三人
1ヶ月半に渡る文通を通して、ヒンズー系の名前の人物をはじめ３人とやり取りを繰り返してきました。
- 最初にメールを送信してきた人物A
- 人物Aの上司を名乗るB
- 更にその上司であるC
メールを追う中で、接続元IPアドレスは変化していました。
これだけを見ると、「別人なのではないか」と考えたくなります。
しかし、メール基盤や利用ソフト、やり取りの流れには一貫性がありました。
接続元IPの変化だけで人物や所在地を断定することはできません。
私はIPアドレスそのものよりも、「変わるもの」と「変わらないもの」の両方を観察していました。
サイバーインテリジェンスでは、一つの情報だけを見て結論を出すことは危険です。
IPアドレスも、その一つに過ぎません。
私が知りたかったのは、「このIPはどこの国か」ではなく、
「この人物（あるいは組織）は、どのような運用をしているのか」
ということでした。
文通の途中、インドのWeb開発会社を名乗る人物や、その事業責任者を名乗る人物からもメールが届くようになりました。
当時は、その会社が実在する企業なのかどうかも分からなかったのですが、後年になって調べると、実在する企業であることが確認できました。
しかし、その企業とRagnar Lockerとの関係を示す客観的な証拠は確認できなかったため、本記事では企業名は伏せておこうと思います。
しかし、「なぜ、ランサムノート経由で送った私の専用ProtonMailアドレスに、このような営業メールが届いたのか」という疑問だけは、今なお私の中に残っています。
文通を通して学んだこと
約一か月半に及んだ、この不思議なメールのやり取り。
相手が本当にRagnar Lockerの関係者だったのか。
あるいは、その周辺にいた人物だったのか。
それとも、全く別の存在だったのか。
その答えは、今でも分かりません。
この記事で伝えたいのは、特定の企業や人物についてではありません。
私が、サイバー犯罪を『技術』ではなく『人間』として観察し始めた、その原点を記録することです。
1. 技術だけでは、人は見えてこない。
メールヘッダー。
IPアドレス。
タイムゾーン。
ドメイン。
どれも重要な情報です。
しかし、それだけでは相手を理解することはできません。
私は、当時より、それらを「証拠」としてではなく、「人間の行動を理解するための観察材料」として見るようになりました。
2. サイバー犯罪も、人間が行う営みである。
ランサムウェア。
リークサイト。
暗号化。
これらは技術です。
しかし、それを運用し、意思決定しているのは人間です。
今回のやり取りを通じて、私は改めてそのことを実感しました。
3. 人は「役割」を演じる。
担当者。
上司。
さらにその上位の統括者。
それらが実在したのかどうかは分かりません。
しかし、少なくとも相手は「組織」として見せようとしていました。
私は、その組織構造そのものよりも、「なぜそのように見せようとしたのか」に興味を持ちました。
4. 承認欲求は、人間の本質の一つである。
Dark Webで活動しながら、通常ドメインを公開する。
自らの存在を誇示する。
そこには、
「認められたい。」
「成功したい。」
という、人間らしい一面を感じました。
もちろん、犯罪は決して許されません。
しかし、だからといって、人間の心理まで消えるわけではありません。
私は今でも、
承認欲求こそが、彼らにとっての”ゼロデイ”だったのではないか。
そう考えています。
これは技術的な脆弱性ではなく、人間心理に関する私自身の比喩です。
5. 攻撃者もまた、こちらを観察している。
文通を続ける中で、相手は何度か直接の通話を提案してきました。
「一度、話をしませんか。」
そんな誘いが、繰り返し送られてきたのです。
しかし、私は一貫して断りました。
理由は単純です。
「声（声紋）を渡したくなかったから」です。
当時から私は、
メールは慎重に使えば一定の匿名性を保てる。
しかし、音声には、その人固有の情報が含まれている。
そう考えていました。
私は率直に、
「声紋を取られたくありません。」
という趣旨を相手へ伝えました。
普通なら、
不信感を示されたことに腹を立てても不思議ではありません。
ところが返ってきた返事は意外なものでした。
「気にし過ぎですよ。」
「安心してください。」
「私たちは、あなたの役に立てるはずです。」
そんな内容だったのです。
私はその返答を見て、
「この人たちは怒らないんだ。」
そう感じました。
今振り返ると、それは相手が冷静だったというより、
私との関係を維持することを優先した対応だったのかもしれません。
もちろん、本当の意図は分かりません。
しかし、一つだけ確信したことがあります。
私は相手を観察しているつもりでした。
しかし同時に、
相手もまた、私という人間を観察していた。
そういうことなんだろうと考えています。
6. 2026年の私から見た、この出来事
当時は「声紋を渡したくない」という感覚は、少し慎重すぎる考え方だったかもしれません。
しかし現在では、音声から本人確認やAIによる音声合成（ボイスクローン）が可能な時代になっています。
もちろん、2020年当時に相手がそのような目的を持っていたと断定することはできません。
それでも私は、「必要のない個人情報は渡さない」という判断は間違っていなかったと思っています。
おわりに
この出来事から、もう６年が経とうとしています。
Ragnar Lockerというランサムウェアグループは、現在では事実上その活動を終え、サイバー犯罪の世界も当時とは比べものにならないほど変化しています。
AI。
AIエージェント。
RaaS。
初期アクセスブローカー（IAB）。
犯罪はより高度に、より組織的になりました。
しかし、一つだけ変わらないものがあります。
その先には、必ず「人」がいるということです。
私は今回の記事で、
「相手を特定した」
という話をしたかったのではありません。
また、
「私の推測が正しかった」
と言いたいわけでもありません。
私が伝えたかったのは、
サイバー犯罪を理解するためには、マルウェアや脆弱性だけを見ていても足りない。
その背後にいる人間を観察することも、大切な分析の一つであるということです。
私はメール本文だけではなく、
メールヘッダーを見ました。
送信経路を見ました。
タイムゾーンを見ました。
返信される時間帯を見ました。
そして何より、
相手との会話そのものを観察し続けました。
もちろん、それだけで相手の正体が分かるわけではありません。
しかし、人はどれだけ匿名になろうとしても、完全に人間らしさを消すことはできません。
私は、この一か月半の文通を通して、そのことを強く感じました。
だからこそ今でも私は、
ランサムウェアを研究するとき、
「技術」と同じくらい「人」を見るようにしています。
攻撃者も人間。
防御する側も人間。
そして、その間をつなぐものこそ、
ソーシャルエンジニアリングという、人間を理解するための技術なのだと思っています。
この文通は成功でも失敗でもありませんでした。
私にとっては、
サイバー犯罪を”人間”として観察するという視点を教えてくれた、人生初のソーシャルエンジニアリング・チャレンジだったと。
編集後記
この記事は、2020年当時に私自身が保存していたメールや記録を基に、2026年の視点から振り返ったものです。
文中には、当時確認できた事実、当時私が抱いた観察、現在の私による考察が含まれています。それぞれを意識的に区別しながら構成しました。
サイバー犯罪の世界は日々変化しています。
しかし、「人を観察する」という視点は、今後も変わることのない私の研究姿勢であり続けるでしょう。
── Archive No.001 完
コメント