詐欺グループの比較：MercuryTeam、WasabiSquad、717Teamの活動実態

詐欺の中産階級

仮想通貨詐欺の捜査がニュースの見出しを飾るとき、その規模は桁外れだ――1,000万ドル規模のメンターシップ事業、10億ドル規模の「ラグプル」、国家が関与する資金洗浄ネットワークなど。しかし、こうした注目を集める事件の裏側には、広大なエコシステムが 中堅クラスの詐欺グループ これらが相まって、表立って注目されることなく、甚大な被害をもたらしている。

彼らは単独で行動しているわけではありません。組織化されており、フォーラムを通じてメンバーを募集し、自動化のためにTelegramボットを利用し、まるで正規の営業チームが見込み客を追跡するように、Googleスプレッドシートで被害者を追跡しています。彼らはまさに サイバー犯罪の実行部隊となる中産階級 — 拡張性に優れ、かつ目立たないほどコンパクトである。

本調査では、PhishDestroyの記録に残されている、そのような3つのチームについて検証する。 ScamIntelLogs リポジトリ：

MercuryTeam：デュアルベクトル演算

MercuryTeamは、 デュアルベクトル不正検知モデル — 2つの専用のTelegramボットを通じて、取引所詐欺とカジノ詐欺を同時に仕掛ける。この手法により、被害者の網羅性を最大限に高めることができる。偽の取引所には騙されないユーザーでも、カジノのオファーには誘惑される可能性があり、その逆もまた然りである。

Telegramボットのインフラストラクチャ

デュアルボットアーキテクチャは偶然の産物ではありません。取引所とカジノの運用を別々のボットに分離することで、MercuryTeamは 業務上の区分化 — あるボットが通報されたり利用停止処分を受けたりしても、もう一方のボットは引き続き機能し続けます。被害者は、自身の脆弱性プロファイルに合致するボットとやり取りすることになります。

組織体制

MercuryTeamでは、 分岐を持つメンターモデル. ベテランのオペレーターが新人を指導し、新人はその後、半独立型の支部を設立する。このフランチャイズのような仕組みにより、チームは業務上の安全性を維持しつつ、急速に規模を拡大することができる。新人は、単独で活動するようになる前に、担当のメンターから被害者への接し方、台本の扱い方、撤退手順などを学ぶ。

WasabiSquad：トリプル・スレット

MercuryTeamが2つのベクトルを実行する一方で、WasabiSquadはそれを 3 — 偽の取引所、ギャンブルプラットフォーム、投資ボットを1つの事業に統合している。この多角的なアプローチは、暗号資産トレーダー、ギャンブラー、受動的な投資家という、まったく異なる心理を持つ被害者を標的としている。

ボットおよびWebインフラストラクチャ

3つの攻撃ベクトル

717Team：ディスラプションが効果的であることを証明

本調査で対象とした3つのチームのうち、717Teamには他とは一線を画す特徴がある： アーカイブされました. ScamIntelLogs の用語において、「アーカイブ済み」とは、その活動が阻止され、チームがもはや積極的に詐欺を行っていないことを意味します。これは単なる理論上の成功ではなく、情報収集、証拠の保全、そして連携した通報によって、組織的な詐欺を摘発できることを示す、文書化された証拠なのです。

717Teamの数字で見る

管理・ネットワーク関連リンク

ドメインインフラ（12ドメイン以上）

共有インフラストラクチャ

これら3つのチームを並べて検討してみると、個々の活動よりもはるかに重要なことが明らかになる――それは、 ネットワーク。共有ツール、共有プラットフォーム、共有ドキュメント、そして少なくとも1つのケースでは、チーム間の直接的な人的つながりがあった。

比較分析

インフラストラクチャの共通ポイント

• 共有されているGoogleスプレッドシート — MercuryTeam と WasabiSquad は、被害者や収益の追跡に同じ文書を使用している
• lolz.live を中心拠点として — 3チームすべてが、同じロシア語のフォーラムを通じて、メンバーの募集、宣伝、調整を行っている
• 運用層としてのTelegram — どのチームも、被害者の受け入れやオペレーターとの連絡にTelegramボットを活用している
• チーム横断的な人員配置 — 717Teamの管理者 @imdebank が RublevkaTeam へのリンクを投稿し、チーム間のオペレーターの移動が可能であることを示した
• ロシア語による業務 — すべてのチームがロシア語で活動しており、地理的・文化的な共通のルーツがあることを示している

証拠および資料

本調査で参照されたすべての情報は、PhishDestroyのScamIntelLogsリポジトリに保存されています。各チームには、ボットID、ウォレットアドレス、フォーラムのスクリーンショット、ドメインリスト、構造分析などを含む専用の証拠ディレクトリが用意されています。