WannaCry を止めた「英雄」は、なぜ3か月後に逮捕されたのか——Marcus Hutchins の事件簿

2017年5月12日の午後、英国の病院でコンピューターが次々と止まりました。ランサムウェア「WannaCry」です。数時間のうちに世界中へ広がったこの攻撃を、イングランド南西部の海辺の町にいた22歳の研究者が、偶然に近い形で止めました。彼の名は Marcus Hutchins。ネットでは「MalwareTech」として知られていました。

3か月後、Hutchins は米ラスベガスの空港で FBI に逮捕されます。容疑は WannaCry とは関係がありませんでした。10代のころ、銀行の情報を盗むマルウェア「Kronos」を作ったことです。

この記事では、米検察の発表、本人のブログ、そして本人が2020年に Wired の Andy Greenberg 記者に語った長いインタビューを区別しながら、Hutchins の歩みをたどります。

読み方：4つの区別

• 【当局の主張】起訴状や検察の発表に書かれた、裁判で認められる前の主張。
• 【認定】有罪答弁や判決で認められた事実。
• 【報道】報道機関が裁判資料や取材をもとに書いたこと。
• 【本人の説明】本人のブログや取材での発言。裏付けとなる記録が公開されていないものを含む。

何者だったのか

海辺の町のコンピューター少年

Wired によると、Hutchins はイングランド南西部デヴォン州の農場の家で育ちました。母は看護師、父はソーシャルワーカーです。学校のパソコンの制限をくぐり抜け、親が付けた閲覧制限も外してしまう子どもだったと、家族は語っています。

本人の説明では、14歳ごろ、ハッキングのフォーラムに出入りして、ブラウザーに保存されたパスワードを抜き出すプログラムを投稿しました。15歳のころには別のフォーラム「HackForums」で、乗っ取ったコンピューターの群れ（ボットネット）を持っていると自慢し、違法なサイトも置ける貸しサーバーの商売もしていたといいます【本人の説明】。

「Vinny」との取引

16歳のとき、「Vinny」と名乗る相手から、売り物になるマルウェアを作らないかと持ちかけられました。売上を折半する約束で、2012年に「UPAS Kit」の販売が始まったと、Hutchins は Wired に語っています【本人の説明】。

Vinny が次に求めたのは、銀行のサイトの画面に偽の入力欄を差し込む機能でした。Hutchins は、預金を盗むためのものだと分かって断ったといいます。ところが Vinny は別のプログラマーにその部分を作らせ、Hutchins の書いたコードと組み合わせました。Hutchins はやめずに作業を続け、2014年6月、新しいマルウェアが売り出されます。名前は「Kronos」。有名な銀行向けマルウェア「Zeus」を意識し、ギリシャ神話でゼウスの父にあたる巨人から取った名前でした【本人の説明】。

この中心部分は、裁判でも認められています。検察の発表によると、Hutchins は UPAS Kit と Kronos を開発し、共犯者「Vinny」と組んで、闇市場 AlphaBay やフォーラム Darkode で宣伝して売り、利益を分け合っていました。どちらも、感染したコンピューターから利用者名、パスワード、金融情報を盗み出すためのものです【認定】。起訴の発表は、Kronos がカナダ、ドイツ、ポーランド、フランス、英国などの銀行の利用者を狙うよう設定されてきたとしています【当局の主張】。

抜け出すまで

本人によると、Kronos の保守に追われるあいだ、覚醒剤に頼る生活になっていました。2015年に薬をやめると強い不安に襲われ、作業が進まなくなります。Vinny からの支払いも途絶え、関係は自然に切れました【本人の説明】。

その後に力を注いだのが、2013年に始めていたブログ「MalwareTech」です。大きなボットネットの内部に入り込んで動きを追う記事が注目され、米国のセキュリティ企業 Kryptos Logic に雇われました。同社の CEO は Wired に、Hutchins のおかげで世界の主要なボットネットを追えるようになったと語っています【報道】。闇の仕事より守る側の仕事のほうが稼げた、と Hutchins は振り返っています【本人の説明】。

何がすごかったのか

編集部作成の図／米司法省の発表、本人のブログ、報道をもとに作成

Marcus Hutchins をめぐる経過

1. 2012本人の説明「Vinny」と組んだマルウェア UPAS Kit の販売が始まる （Wired）
2. 2014.06本人の説明銀行の情報を盗む Kronos の販売が始まる （Wired）
3. 2015本人の説明Vinny との関係が切れ、研究ブログ MalwareTech に力を注ぐ （Wired）
4. 2017.05.12本人の記録WannaCry が使う未登録ドメインを登録し、拡散が止まる （本人のブログ）
5. 2017.07.11起訴大陪審が6件の罪で起訴（非公開） （検察の発表）
6. 2017.08.02逮捕DEF CON の後、ラスベガスで逮捕。のちに保釈 （検察の発表、Wired）
7. 2018報道司法取引を断り、罪状が10件に増える （Wired）
8. 2019.05.02認定2件の罪を認める（有罪答弁） （検察の発表）
9. 2019.07.26判決勾留済みの期間で刑期を終えたとし、保護観察1年 （NBC News、CyberScoop）

WannaCry の衝撃

WannaCry は、感染したコンピューターのファイルを暗号化してビットコインを要求し、さらにネットワーク越しに次のコンピューターへ自分で広がるランサムウェアでした。広がる力の源は「EternalBlue」と呼ばれる攻撃コードです。米国家安全保障局（NSA）から盗まれ、1か月前に「Shadow Brokers」と名乗る集団がネットに公開していました（Wired）。

Wired によると、英国では600を超える診療所などが被害を受け、2万件の予約が取り消されました。ドイツの鉄道会社、スペインの通信会社、日産やホンダなどの自動車メーカーにも広がり、ある推計では25万台近いコンピューターのデータが失われ、被害額は40億〜80億ドルに上ります【報道】。

未登録のドメインを登録する

Hutchins がこの日に何をしたかは、翌日に本人がブログに書いています。休暇中で、昼食から戻ると、英国の脅威情報の共有サイトに、国民保健サービス（NHS）の各地で被害が出ているという投稿があふれていました。研究仲間から検体を手に入れて動かすと、プログラムが、まだ誰も登録していないドメイン名に接続しようとしていることに気づきます【本人の説明】。

Hutchins はすぐにそのドメインを登録しました。費用は10ドル69セントだったと Wired は書いています。マルウェアが使うドメインを押さえて感染の広がりを追う「シンクホール」は、彼の日常業務でした。前の1年だけで数千のドメインを登録していたといいます【本人の説明】。

3時間半後に知った「停止」

登録したドメインには、新たに感染したコンピューターから接続が殺到しました。Hutchins は感染の地図を作りながら、問い合わせに追われます。登録から3時間半ほど後、別の研究者 Darien Huss の投稿が届きました。ドメインが押さえられたせいで、WannaCry が動かなくなっている、という内容です（本人のブログ、Wired）。

社内では一時、登録のせいで逆に暗号化が始まったのではないかと慌てる場面もあったと、本人は書いています。自分の環境で試すと、ドメインにつながる状態では何も起きず、つながらないようにすると暗号化が始まりました。WannaCry は、そのドメインに接続できれば何もせずに止まる作りだったのです【本人の説明】。

概念図（編集部作成）／本人のブログの説明をもとに作成。実際の攻撃画面ではありません

WannaCry が止まった理由

ドメインが未登録のとき

1. 感染WannaCry がコンピューターに入り込む
2. 確認決まったドメインに接続を試みるが、つながらない
3. 実行ファイルを暗号化し、ほかのコンピューターへ広がる

Hutchins がドメインを登録した後

1. 感染WannaCry がコンピューターに入り込む
2. 確認同じドメインに接続すると、つながる
3. 終了何もせずに止まる。暗号化も拡散もしない

ドメインが落ちると、つながらなくなった感染端末で暗号化が再開するため、Kryptos Logic は攻撃を受けながらドメインを守り続けました（Wired）。止まったのはこの検体だけで、確認の部分を消した改造版には効きません（本人のブログ）。

Hutchins 自身は、これを作者が意図した「停止スイッチ」ではなく、解析用の環境かどうかを見分けるための出来の悪い仕掛けだったとみています。Wired も、目的は専門家のあいだで今も議論があると書いています。

止め続けるための1週間

止まった後も、仕事は終わりませんでした。ドメインが落ちれば、つながらなくなったコンピューターで暗号化が再開してしまうからです。Wired によると、ドメインには2日間で100万件近い接続があり、翌日からは IoT 機器を乗っ取るボットネット「Mirai」の系統による大量の通信攻撃も加わりました。フランスでは、警察が WannaCry の犯人のサーバーと誤解して、Kryptos Logic のサーバー2台を押収しています。英国の国家サイバーセキュリティセンター（NCSC）の仲介で Amazon の設備を使えるようになり、1週間後には Cloudflare が攻撃の吸収を引き受けて、ようやく落ち着きました【報道】。

その間に、地元紙の記者が自宅を突き止め、Hutchins の実名が報じられます。英国のタブロイド紙は彼を「偶然の英雄」と呼びました（Wired）。

転落

英雄になった3か月後

実は、英雄として報じられていたころ、米国では Kronos の捜査が進んでいました。検察によると、2年に及ぶ捜査の末、2017年7月11日に連邦大陪審が Hutchins を6件の罪で起訴しています（非公開）【当局の主張】。

8月、Hutchins はハッカーの祭典 DEF CON に合わせてラスベガスを訪れ、ファンに囲まれる日々を過ごしました。8月2日、帰国便を待つ空港で逮捕されます【当局の主張】。Wired によると、聴取の途中で Kronos の名前が出ると、Hutchins は弁護士のいないまま、一部に関わったことを認めました。その際、18歳になる前にやめたと事実と違う説明をしています。捜査官は、3年前に「Randy」という知人とのチャットで、Hutchins が Kronos を渡すと持ちかけた記録を示しました【報道】。

ハッカー仲間の支援

逮捕の知らせに、セキュリティの世界は大きく反応しました。WannaCry を止めたことで逮捕されたのではないかと誤解する声や、FBI の誤認逮捕だと批判する声も上がったと Wired は書いています。一方、WannaCry 自体を作ったのではないかと疑う専門家もいました。2018年9月、米司法省は WannaCry などに関わったとして、北朝鮮の政府系ハッカー集団の一員とされる人物を訴追しており【当局の主張】、Wired はこれで疑いは根拠を失ったと書いています。

保釈金は3万ドルでした。Wired によると、面識のなかったセキュリティ専門家の夫婦が、自宅の頭金にするはずのお金で保釈金を払いました。Hutchins はその後、ロサンゼルスでの在宅拘禁を経て、少しずつ制限を解かれていきます。逮捕から1か月後には、セキュリティ記者の Brian Krebs が、Hutchins の10代のころのフォーラムでの書き込みを掘り起こしました（Wired による）。

司法取引をめぐる駆け引き

Wired によると、2018年春、検察は、ほかのハッカーの身元を明かせば刑務所に入らない刑を求めるという取引を持ちかけました。Hutchins は、Vinny の正体は知らないうえ、仲間を売ることには反対だとして断ります。検察は罪状を10件に増やす追起訴で応じ、FBI への虚偽の説明も罪に加えました。弁護側は空港での供述を証拠から外すよう求めましたが、認められませんでした【報道】。

2019年4月、Hutchins は10件のうち2件を認める合意に応じます。検察は刑の求刑をしないという内容で、判断は判事に委ねられました（NBC News、Wired）。自身のサイトでは、こうした行為を後悔しており、過ちの責任はすべて自分にあるという趣旨の短い声明を出しています【本人の説明】。

検察の発表によると、5月2日、Hutchins は法廷で、コンピューター詐欺の共謀と、通信を傍受する機器（マルウェア）の宣伝の2件で有罪を認めました【認定】。

判決

2019年7月26日、ミルウォーキーの連邦地裁。J.P. Stadtmueller 判事は、すでに勾留された期間で刑を終えたとし、1年の保護観察を付けました【報道】（NBC News、CyberScoop）。

判事は、Hutchins が問題の行為からすでに立ち直っていたと述べ、WannaCry を止めた貢献を重く見ました（NBC News）。Wired によると、判事は、良い面があまりに多いと述べ、裁判所に権限はないものの恩赦に値するかもしれないとまで語っています。検察は具体的な刑を求めず、WannaCry での貢献やマルウェアを書くのをやめたことは評価しつつ、罪の責任は残ると主張していました（NBC News）【報道】。

判決時、Hutchins は25歳でした。問題の行為は10代のころにさかのぼります。

編集部作成の図／米司法省の発表と Wired の取材をもとに作成

Hutchins をめぐる人々

Marcus Hutchins（MalwareTech）英国の研究者。2019年に2件の罪で有罪答弁

• 共犯者（検察の発表）
  VinnyUPAS Kit と Kronos を売り、利益を分けた。正体は公表されていない
• 本人の説明（Wired）
  別のプログラマーHutchins が断った、銀行画面への偽入力欄の機能を作ったとされる
• チャットの記録（Wired）
  RandyHutchins が Kronos を渡すと持ちかけた知人。そのやり取りを捜査官が示した
• 勤務先（Wired）
  Kryptos Logicボットネットの追跡で Hutchins を雇い、WannaCry のドメインを守った
• 捜査（検察の発表）
  FBI ミルウォーキー2年に及ぶ捜査で起訴。2017年8月に逮捕

その後

判決後、弁護士は、Hutchins が英国へ帰るつもりだと述べました（NBC News）。Wired は2020年、裁判のために滞在資格の期限を過ぎ、英国へ送還される見通しだと伝えています。現在の活動や居住地は、本稿では確認していません。

Wired の取材で、Hutchins は、自分が無実だと信じて支援してくれた人たちへの負い目を語り、「WannaCry の人」でも「Kronos の人」でもなく、物事を良くする手助けをする人でありたいと話しています【本人の説明】。

分かっていないこと

• 「Vinny」が誰なのか、その後どうなったのかは、確認した発表や報道には書かれていません。
• Kronos と UPAS Kit による被害の総額や被害者の数は、確認した発表には書かれていません。
• 少年時代の出来事や Vinny とのやり取りは、主に本人の説明です。Wired も、やり取りの記録は残っておらず、本人の説明しかないと書いています。
• WannaCry の仕組みが、作者の意図した停止スイッチだったのか、解析を逃れるための仕掛けだったのかは、確定していません。
• WannaCry の被害額は推計で、出典によって幅があります。

出典

確認日はすべて2026年10月20日。

1. 米連邦検事局 ウィスコンシン東部地区「Man Charged for His Role in Creating the KRONOS Banking Trojan」2017-08-03。https://www.justice.gov/usao-edwi/pr/man-charged-his-role-creating-kronos-banking-trojan
2. 同「Marcus Hutchins Pleads Guilty to Creating and Distributing the Kronos Banking Trojan and UPAS Kit Malware」2019-05-03。https://www.justice.gov/usao-edwi/pr/marcus-hutchins-pleads-guilty-creating-and-distributing-kronos-banking-trojan-and-upas
3. Marcus Hutchins（MalwareTech ブログ）「How to Accidentally Stop a Global Cyber Attacks」2017-05-13。https://www.malwaretech.com/2017/05/how-to-accidentally-stop-a-global-cyber-attacks.html
4. Wired「The Confessions of Marcus Hutchins, the Hacker Who Saved the Internet」（Andy Greenberg）2020-05-12。https://www.wired.com/story/confessions-marcus-hutchins-hacker-who-saved-the-internet/
5. NBC News「No prison for British cyber expert in malware case」2019-07-26。https://www.nbcnews.com/tech/security/no-prison-british-cyber-expert-malware-case-n1035221
6. CyberScoop「Marcus Hutchins, who stopped WannaCry’s spread, avoids prison time」2019-07-26。https://cyberscoop.com/marcus-hutchins-sentenced-kronos-wannacry/
7. NBC News「British cybersecurity researcher who helped to stop WannaCry attack pleads guilty in hacking case」2019-04-19。https://www.nbcnews.com/tech/security/british-cybersecurity-researcher-who-helped-stop-wannacry-attack-pleads-guilty-n996561
8. 米司法省「North Korean Regime-Backed Programmer Charged With Conspiracy to Conduct Multiple Cyber Attacks and Intrusions」2018-09-06。https://www.justice.gov/opa/pr/north-korean-regime-backed-programmer-charged-conspiracy-conduct-multiple-cyber-attacks-and

更新履歴

• 2026年10月20日：公開。
• 2026年10月20日：Wired（2020年）の原文をもとに、WannaCry の被害の規模、停止後もドメインを守り続けた経緯、逮捕後の保釈と支援、司法取引をめぐる経緯、判決での判事の判断を追記し、読み物として構成を改めました。人物関係図を追加しました。