勤務先のネットワークを意図的に妨害したエンジニアに禁固32か月

米司法省ニュージャージー地区連邦検事局は2026年10月5日、勤務先のネットワークを意図的に妨害し、暗号資産による身代金を要求した元インフラ技術者ダニエル・ライン（Daniel Rhyne）被告（59）に対し、禁錮32カ月の判決が言い渡されたと発表しました。判決は9月28日、ニュージャージー州トレントンの連邦地方裁判所で下されています。

事件は2023年11月に発生しました。被告は米国の工業関連企業で仮想マシンなどを担当する技術者として働いていた当時、管理者アカウントを使って社内ネットワークへ無断でアクセスし、管理者アカウントの削除やパスワード変更、サーバー停止を実行・計画したとされています。約3,500台のサーバー・端末に影響し得る操作が捜査資料に記録されていますが、すべての機器が実際に停止・ロックされたと確認されたわけではありません。

元従業員によるネットワーク妨害事件のサマリー

• 被告は米ニュージャージー州に本社を置く工業関連企業で、仮想マシン基盤などを担当するインフラ技術者でした。
• 2023年11月8～25日ごろ、無許可のリモートデスクトップ接続などを通じて攻撃を準備・実行しました。
• 11月25日、ネットワーク管理者のアカウント13件の削除、一般ユーザー301件のパスワード変更などを行うタスクが設定されました。
• ローカル管理者のパスワード変更は、サーバー254台、ワークステーション3,284台に影響し得る設計でした。
• 同日、従業員宛ての脅迫メールで20BTC（当時約75万米ドル）を要求。支払わなければサーバーを継続的に停止すると警告しました。
• 2024年8月に逮捕され、2026年4月1日に2件の罪状で有罪を認めました。9月28日に禁錮32カ月の判決が言い渡されました。

管理者アカウントを削除し、ユーザー301件のパスワードを変更

2024年8月に提出されたFBIの刑事告発状によると、2023年11月25日午後4時ごろ、被害企業のネットワーク管理者は管理者アカウントと数百の一般ユーザーアカウントについて、パスワード変更の通知を受信しました。直後にほかのドメイン管理者アカウントが削除されていたことが判明し、管理者によるネットワークへのアクセスが妨げられました。

捜査では、ドメインコントローラー上に約16件の予定タスクが作成されていたことを確認。うち6件は11月25日の特定時刻に作動するよう設定され、ドメイン管理者アカウント13件の削除、一般ユーザー301件のパスワード変更、ローカル管理者アカウントのパスワード変更などが含まれていました。

ローカル管理者に関する操作は、サーバー254台とワークステーション3,284台の管理アクセスに影響する設計でした。さらに、残るタスクの一部は12月3日以降、複数日にわたりサーバーを停止させるよう設定されていました。刑事告発状は、これらの処理が実行されれば企業のシステムやデータへのアクセスを妨げ、業務を中断させるおそれがあったと説明しています。

ここでの「3,538台」は、捜査資料が示す操作の影響対象規模です。全機器の暗号化や実際の稼働停止台数を示す数字ではありません。

バックアップ削除を主張し、20BTCの支払いを要求

同日午後4時44分ごろ、被害企業の従業員に「Your Network Has Been Penetrated（あなたのネットワークに侵入した）」という件名のメールが届きました。メールには、IT管理者がシステムから締め出され、バックアップも削除されたとの記載がありました。

さらに12月2日までに20BTCを支払わなければ、10日間にわたって毎日40台のサーバーを停止させると脅していました。刑事告発状によると、20BTCは当時約75万米ドルに相当します。

ただし、バックアップの削除は脅迫メールに記載された犯人側の主張です。司法省の2026年10月5日の発表は、バックアップ全体が削除されたと認定したものではありません。また、今回の資料が示す中心的な妨害手口はアカウント操作とサーバー停止であり、ファイルを暗号化する典型的なランサムウェアの使用が公表された事案ではありません。

隠された仮想マシンと社員用PCの記録が被告を特定する手掛かりに

FBIの告発状では、11月25日朝に行われたドメインコントローラーへの無断リモートデスクトップ接続が、社内ネットワーク上に設けられた無許可の仮想マシンから発信されていたとしています。

同仮想マシンは11月9日ごろに作成され、被告に割り当てられた利用者アカウントとノートPCからアクセスされていました。捜査では、その仮想マシンでアカウント削除、パスワード変更、Windowsのログ消去に関係する検索が行われたことも確認しています。

また、被告の社員用PCと仮想マシンの利用状況、社屋の入退室記録、防犯カメラの映像などを突き合わせたことが、攻撃行為と被告との関連を裏付ける材料になりました。

攻撃者がネットワークの管理基盤に近い職務を担当していたことに加え、管理用アカウントや仮想化基盤を利用していた点が特徴です。外部から侵入する攻撃だけでなく、社内の正規アカウントや管理機能が不正な目的で使われる場合にも、大規模なサービス停止につながり得ます。

2026年4月に有罪答弁、9月に禁錮32カ月の判決

ライン被告は2024年8月27日にミズーリ州で逮捕されました。当初の刑事告発状には、コンピューターへの損害を伴う恐喝、保護対象コンピューターへの意図的な損害、通信詐欺の3件が記載されていました。

その後、被告は2026年4月1日、コンピューター損害の脅迫を伴う恐喝と、保護対象コンピューターへの意図的な損害の2件について有罪を認めました。2026年9月28日、マイケル・A・シップ連邦地裁判事が禁錮32カ月を言い渡しました。今回の判決を当初の3罪すべてについての有罪判決と解釈するのは正確ではありません。

情報システム部門が確認したい管理者権限と復旧経路

この事件では、予定タスクと管理者アカウントの操作によって認証基盤そのものが妨害対象になりました。侵害を前提に社内の管理機能を点検する場合、以下が具体的な確認項目です。

• ドメイン管理者、ローカル管理者、仮想化基盤の管理アカウントについて、利用者と権限の付与理由を棚卸しする。
• 管理者アカウントの一括削除、広範囲のパスワード変更、ドメインコントローラーへの予定タスク登録を検知・記録する。
• 管理接続先を限定し、管理用のリモートデスクトップ接続と新規仮想マシンの作成を監査する。
• 監査ログを、侵害された管理者が容易に削除・改変できない別の環境へ転送する。
• ドメイン管理者が全員利用不能になった場合の緊急用アカウント、認証基盤の復旧手順、オフラインバックアップを定期的に検証する。
• 異動・休職・退職時は本人のアカウントだけでなく、共有・サービス用アカウントや管理用端末、仮想マシンへのアクセス経路も見直す。

セキュリティ対策Labでは、社内アカウントの無効化をきっかけにシステム破壊が生じた別の米国事例として、元従業員がキルスイッチを設置し、懲役4年の判決を受けた事件も報じています。同事件は悪意あるコードを利用した事案で、今回のアカウント操作と予定タスクによる妨害とは手口が異なります。

出典

• • Former Employee of Industrial Company Sentenced to 32 Months in Prison for Computer Attack and Extortion – 米司法省・ニュージャージー地区連邦検事局（2026年10月5日）
  • Former Employee of National Industrial Company Pleads Guilty to Crimes Related to Hacking Computer Networks and Extorting Employees – 米司法省・ニュージャージー地区連邦検事局（2026年4月2日）
  • United States v. Daniel Rhyne, Criminal Complaint, Mag. No. 24-12241 – 米ニュージャージー地区連邦地方裁判所・FBI刑事告発状（2024年8月8日）
  • Former Employee of National Industrial Company Arrested for Attempted Data Extortion – 米司法省・ニュージャージー地区連邦検事局（2024年8月28日）