Big Pipes：ハニーポットでDDoS代行サイトを壊滅させたボランティア捜査チーム

Big Pipesは2014年、ピッツバーグで開催されたSlam Spamカンファレンスに始まる。当時Deloitteに在籍していたセキュリティ研究者のAllison Nixonが、Game Over Zeusボットネットの壊滅作戦を終えたばかりのFBI捜査官Elliot Petersonに協働を持ちかけたのだ。標的は、分散型サービス拒否（DDoS）攻撃をサブスクリプションとして販売する「booter」または「stresser」サービスだった。複数回の攻撃でおよそ20ドルという価格が一般的で、ゲーマーや恨みを持つ者がライバルの回線に大量のジャンクトラフィックを流し込めるようにしていた。

こうして結成されたグループは、Slackと週次通話に約30人のメンバーを擁し、大手クラウドプロバイダー、ゲーム企業、学界から集まり、さらに数名のFBI捜査官と検察官も加わった。「big pipes start fights（太いパイプは喧嘩を生む）」という冗談から名付けられた。NixonとClaytonはセンサーネットワークを構築した。ハッカーのボットネットに参加したり、リフレクションサーバーを装ったりして攻撃コマンドを記録するハニーポットである。一方、業界のメンバーは被害者と防御側としての長年の実体験に基づく知識を提供し、ボランティアはフォーラムへの投稿や広告サイトから運営者の正体を暴いた。

この仕組みは機能した。2018年12月の摘発では3人のハッカーが逮捕され、12のbooterサービスがオフラインに追い込まれた。2022年12月のOperation Power Offでは6人が逮捕され、少なくとも49のDDoS代行サイトが摘発された。これは同種の作戦としては最大規模である。そして2023年5月、FBIはさらに13のサイバー攻撃代行サービスの摘発を発表した。これら3つの作戦はいずれもグループ内部から生まれたものだった。生き残った者たちへのClaytonの警告はこうだ。今回摘発を免れたとしても、捜査される可能性が高まったと考えるかもしれない——「何が起きるか様子を見ようとは思わないほうがいい」。

ボットネットに参加しリフレクションサーバーを装うハニーポットを、最大規模のインフラ運営者と組み合わせ、攻撃の測定を訴追の証拠へと変えた。

ハニーポットは監視を逆転させた。研究者たちはボットネットやリフレクションサーバーの内部に立ち、発行される攻撃コマンドをその場で記録した。

メンバーシップそのものが仕組みだった。インターネット最大のパイプの運営者たちは、booterの巻き添え被害者でもあった。だからこそ測定、動機、証拠が同じ場に集まった。

検察官と捜査官を非公式なグループに組み込むことで、手がかりから合法的な摘発までの距離がSlackのメッセージ1通分に縮まった。

非公式のワーキンググループは制度を上回る成果を出しうる。センサーを持つボランティアとデータを持つ被害者に検察官への直接の窓口を与えれば、事件のパイプラインは自ずと構築される。

2023年5月までに、Big Pipesは5年間で3つの大規模摘発の種を蒔いた。2018年の逮捕、Operation Power Offによる6人の逮捕と49サイトの押収、そして同年5月に発表された13サービス作戦である。グループはオンラインに残るbooterの追跡を続けていた。作戦は加速しているように見えた。