フロリダの貧乏なティーンエイジャーが、どうやってほぼインターネット全体を壊しかけたのか、不思議に思ったことはありますか？グラハム・イヴァン・クラークについて話しましょう — そして、この話はあなたのセキュリティに対する考え方を永遠に変えるでしょう。

それはエリートのロシアのハッキング組織でもなかった。洗練されたコードでもなかった。ノートパソコンと電話を持った一人の少年と、理解できないほどの大胆さだけだった。それが実際に成功したことに気づくまでは。2020年7月15日、グラハム・イヴァン・クラークと共犯者は、まだ不可能に感じられることを成し遂げた：Twitterを掌握したのだ。

しかし、遡ってみよう。彼はハックの前、どんな人物だったのか？

グラハムはタンパで育ち、何も持たなかった — 裏切られた家庭、金もなく、将来性もなかった。彼の同年代の子供たちがただゲームをしている間に、彼はすでにその中で詐欺を働いていた。人と友達になり、ゲーム内アイテムを奪い、現金を掴んで消えていった。彼をオンラインで暴露しようとしたときには、彼は彼らのチャンネルをハックしていた。15歳のときには、もう遊びではなかった。彼はOGUsersという、ハッカーたちが盗んだソーシャルメディアアカウントを取引するフォーラムに参加していた。でも、ここで重要なのは — 彼はコードを書く必要がなかった。彼にはもっと良いものがあった：人を理解していたのだ。

16歳のとき、グラハムはSIMスワッピングを習得した。それは、電話会社に電話をかけ、従業員を説得して自分がアカウント所有者だと信じ込ませ、電話番号を自分に移させる技術だ。一度誰かの電話番号を掌握すれば、その人のメール、暗号資産ウォレット、銀行口座、すべてをコントロールできる。彼の被害者には、オンラインで資産を公開していた裕福な暗号投資家もいた。あるベンチャーキャピタリストは、目覚めたときに1百万BTC以上が消えているのを見た。盗人に連絡したときの返答は冷酷だった：「支払え、さもなくば家族を襲うぞ」。

その金銭欲が、グラハムを無謀にさせた。彼は自分のハッカー仲間を騙したのだ。彼らは彼の情報を公開し、彼の家に現れた。彼のオフラインの生活は崩壊しつつあった — 麻薬取引、ギャングのつながり、暴力。友人が取引の失敗で射殺されたこともあった。グラハムは無実を主張し、なぜか自由の身だった。2019年、警察は彼のアパートを襲撃し、約400BTC（約400万ドル相当）を発見した。彼は1百万ドルを返して事件を終わらせた。彼は17歳だった。未成年だったため、残りの金は法的に保持していた。

そして、最後の一手が来た。

2020年半ばまでに、グラハム・イヴァン・クラークの目標は一つだけだった：Twitter自体をハックすること。会社は混乱に陥っていた — COVIDのロックダウンで従業員は在宅勤務、個人端末からログインしていた。グラハムともう一人のティーンエイジャーの共犯者は、内部の技術サポートを装った。Twitterの従業員に電話をかけ、ログイン情報をリセットさせる必要があると伝え、偽の企業ログインページを送った。何十人も騙された。少年たちはTwitterの内部階層を登りつめ、ついには美しいものを見つけた：神モードのアカウントで、プラットフォーム上のどんなパスワードもリセットできる。

突然、二人の少年が世界で最も強力なアカウント130をコントロールした。

7月15日午後8時、ツイートが流れた：「BTCを送れ、倍返しする」。イーロン・マスク、オバマ、ビヨンド、アップル、バイデン — 皆同じメッセージを投稿。インターネットは凍結した。数分以内に、10万ドル以上のビットコインが彼らのウォレットに流れ込んだ。Twitterは全世界の認証済みアカウントを停止した — これは前例のないことだった。ハッカーたちは、市場を崩壊させたり、プライベートメッセージを漏洩させたり、偽の戦争警報を拡散したりできたはずだが、彼らはただ暗号資産を稼いだだけだった。それは、インターネットの最大のメガホンをコントロールできることを証明するためだった。

FBIは2週間でIPログとDiscordのメッセージを使って彼らを捕まえた。グラハム・イヴァン・クラークは30の重罪 — 身分詐称、ワイヤーファウンド、不正アクセス — に直面した。潜在的な刑期は210年だった。しかし、彼は交渉した。未成年だったため、少年院で3年、保護観察で3年を過ごした。彼は世界をハックしたとき17歳だった。自由になったときは20歳だった。裕福で、触れられない存在。

驚くべきことに、エロンのプラットフォームXは今や毎日暗号詐欺で溢れている。グラハムを金持ちにしたのと同じ詐欺だ。同じ心理学が何百万もの人に今も効いている。

では、真の教訓は何か？グラハム・イヴァン・クラークのような詐欺師はシステムをハックしない — 人をハックするのだ。感情を利用する。恐怖、欲望、信頼。緊急性を信用してはいけない。本物のビジネスは即時支払いを必要としない。コードや認証情報を共有してはいけない。認証済みアカウントは最も偽装しやすい。ログイン前にURLを必ず二重に確認しよう。

グラハムが証明した残酷な真実：システムを壊す必要はない、騙すことができればいいのだ。ソーシャルエンジニアリングはコードの問題ではない。心理学の問題だ。そして、それこそがはるかに危険だ。