米兵、AT&TとVerizonへの恐喝で禁錮70ヶ月の実刑判決
U.S. Soldier Gets 70 Months in Prison for AT&T, Verizon Extortions
米陸軍兵士キャメロン・ジョン・ワゲニウス(22歳)は、2024年にAT&T顧客1億人以上の通話・テキストメタデータを盗み、複数の通信会社にハッキングした罪で、連邦刑務所に70ヶ月服役し、被害者への約30万ドルの損害賠償を命じられた。韓国の米陸軍基地に駐留中、「Kiberphant0m」というサイバー犯罪者のペルソナを採用したワゲニウスは、クラウドデータストレージサービスSnowflakeの複数の顧客から、露出した認証情報があり多要素認証を強制していなかったアカウントからデータをダウンロードした。彼はVerizonのPush-to-Talk事業を含む十数社の通信会社にハッキングし、盗んだデータを公開しない約束と引き換えに公然と恐喝した。2025年後半、ワゲニウスは逮捕され、2つの別個の連邦起訴で起訴され、両方の事件で全罪状を認めた。彼は約6年間の連邦刑務所に服役し、294,978ドルの損害賠償を命じられた。検察によると、ワゲニウスは共謀者ケネス・シュクマン(28歳)の助けを借りていた。ワゲニウスは、刑務所内でAIツールを使用して脆弱性を調査し、プロンプトインジェクションの手法を用いていたことが判明している。彼の恐喝行為は大部分成功せず、盗んだデータの販売で約1,500ドルしか得ていないが、多数の個人、米国企業、米国政府に重大な損害を与えたとされている。
- 米陸軍兵士キャメロン・ジョン・ワゲニウス(22歳)が、2024年にAT&T顧客1億人以上の通話・テキストメタデータを窃取し、複数の通信会社へのハッキングで連邦刑務所70ヶ月の実刑と294,978ドルの損害賠償を命じられた。
- 侵入経路は Snowflake の複数顧客アカウントで、露出した認証情報が使われ多要素認証が強制されていなかったことが原因となった。
- Verizon の Push-to-Talk 事業を含む十数社の通信会社に侵入し、盗んだデータを公開しない約束と引き換えに公然と恐喝したが、データ販売による収益は約1,500ドルにとどまった。
- 共謀者ケネス・シュクマン(28歳)の関与が確認され、ワゲニウスは刑務所内でもAIツールで脆弱性を調査しプロンプトインジェクション手法を用いていた。
Snowflake の認証情報流出と MFA 未強制が被害の起点となっており、クラウドデータ基盤の認証・アクセス管理の隙が実際に巨額の被害と経営リスクに直結することを示す事例。攻撃者は刑務所内でもAIツールで脆弱性探索を行っており、防御側のID管理・MFA徹底とAI時代の攻撃者能力向上への対応は、クラウド/通信事業者への投資判断で継続的に織り込むべきコスト要因になる。