2014年7月、インド洋の島国モルディブで、ロシア人の男が米国の捜査官に拘束されました。手元のノートパソコンには、盗まれたクレジットカードの番号が170万件以上入っていました。男の名は Roman Seleznev。ネットでは「Track2」「Bulba」「nCux」と名乗り、米国の飲食店などから盗んだカード情報を大量に売りさばいていたとされる人物です。父はロシア連邦議会の下院議員でした。
米国の裁判所は2017年、Seleznev に懲役27年を言い渡しました。報道によれば、当時、米国のハッキング事件で最も重い刑でした。ところが7年後の2024年8月、彼は米ロの大規模な捕虜交換でロシアへ帰国します。
この記事では、米司法省の発表、裁判の記録を伝えた報道、検察官が講演で明かした捜査の経緯、本人側の主張を区別しながら、その歩みをたどります。
読み方：4つの区別
- 【当局の主張】起訴状や検察の発表、検察官の講演での説明。裁判で認められる前のものを含む。
- 【認定】陪審の評決、有罪答弁、判決、控訴審で認められた事実。
- 【報道】報道機関が取材や裁判資料をもとに書いたこと。
- 【本人の説明】本人や弁護側の主張。
何者だったのか
編集部作成の図／米司法省の発表と報道をもとに作成
Roman Seleznev をめぐる経過
- 2000年代前半検察の説明「nCux」の名で盗んだ情報の販売を始める （Dark Reading）
- 2008.11認定RBS WorldPay の事件で、引き出し役として加わる （米司法省）
- 2009認定1月に Carder.su に加わる。10月からレジ端末への侵入 （米司法省）
- 2011.03起訴シアトルで非公開の起訴 （米司法省）
- 2011本人の説明モロッコの爆弾テロで負傷。2012年1月に店を閉じる （NBC News、Dark Reading）
- 2013検察の説明販売サイト「2pac」で復帰 （Dark Reading）
- 2014.07.05拘束モルディブで拘束され、グアムへ （米司法省）
- 2016.08.25評決シアトルの陪審が38件で有罪 （米司法省）
- 2017.04.21判決懲役27年 （米司法省）
- 2017.11.30判決ネバダとジョージアの事件で懲役14年（同時に服役） （米司法省）
- 2019.04控訴審第9巡回区控訴裁判所が控訴を退ける （Courthouse News）
- 2024.08.01報道米ロなどの捕虜交換でロシアへ帰国 （KrebsOnSecurity）
ウラジオストクの議員の息子
米司法省の発表によると、Seleznev はロシア極東のウラジオストク出身です。2017年の判決時は32歳でした。父の Valery Seleznev は、ロシアの民族主義政党「自由民主党」所属の下院議員です（The Moscow Times）。
三つの名前、三つの時期
2017年夏、米ラスベガスのセキュリティ会議 Black Hat で、この事件を担当した検察官たちが捜査の経緯を語りました。Dark Reading によると、Norman Barbosa 検事補は、Seleznev の犯罪歴を名前ごとに三つの時期に分けて説明しています【当局の主張】。
最初は2000年代前半の「nCux」の時代です。盗んだ情報を売るネット上の店を運営していました。Barbosa 検事補は、2005年ごろにはハッキングを金に換えるにはクレジットカードが手っ取り早いと気づいていた、と述べています。米シークレットサービスが彼に目を付けたのも、このころでした。
2009年、シークレットサービスは nCux の正体をつかみます。ところが、その約1か月後、nCux はネットから姿を消しました。捜査は一歩後退し、国際的な協力の求め方を考え直すことになったといいます【当局の主張】。
同じ2009年、新たに「Track2」と「Bulba」という名の売り手が現れます。カード情報の闇市場として知られたフォーラム「Carder.su」で、最初から「信頼できる売り手」として扱われていました。新顔ではないと、捜査官たちは気づきました【当局の主張】。
何がすごかったのか
飲食店のレジを狙う
シアトルの裁判で示された証拠によると、Seleznev は2009年10月から2013年10月にかけて、米国の小売店のレジ端末（POS システム）に侵入し、マルウェアを仕掛けました【認定】。
狙われたのは、多くが小さな店でした。ワシントン州西部のレストランやピザ店も含まれます。シアトルの「Broadway Grill」は、被害の後に破産に追い込まれました（米司法省）。
仕組みは次のとおりです。ロシアに置いたサーバーから端末にマルウェアを入れ、端末が読み取ったカード情報を、ウクライナや米バージニア州マクレーンにある別のサーバーへ送らせます。集めた情報は「ベース」と呼ぶ単位にまとめて、闇市場で売りました。買い手はその番号で不正な買い物をします【認定】。
被害を受けた店は500社を超え、約3,700の金融機関の損失は1億6,900万ドルを超えたと、裁判で証言されています。本人はこの犯罪で数千万ドルを稼いだと、検察は発表しています【認定】。
概念図（編集部作成）／米司法省の発表と有罪答弁の内容をもとに作成。実際の画面ではありません
盗まれたカード情報が売られるまで
盗む（シアトルの事件、2009〜2013年）
- 侵入ロシアのサーバーから、飲食店などのレジ端末にマルウェアを入れる
- 収集端末が読んだカード情報を、ウクライナや米国のサーバーへ送らせる
- 整理集めた情報を「ベース」という単位にまとめる
売る（ネバダの事件、有罪答弁で認めた内容）
- 宣伝会員制の闇フォーラム Carder.su で自分の販売サイトを宣伝
- 販売検索して「買い物かご」に入れ、精算するとダウンロードできる。1件約20ドル
- 悪用買い手が不正な買い物に使い、金融機関が損失を負う
シアトルの裁判では、約3,700の金融機関の損失が1億6,900万ドルを超えたと証言されました。Carder.su の組織全体による損失は、少なくとも5,089万ドルです（米司法省）。
自動販売サイトという「卸売業」
Seleznev の特徴は、盗むだけでなく、売る仕組みを整えたことでした。のちのネバダ州の事件での有罪答弁で、本人は次のことを認めています【認定】。
2009年1月、Carder.su の組織に加わったこと。この組織では、加入に会員2人の推薦が必要で、暗号化したチャットやメールで連絡を取り合っていたこと。そして、売る量があまりに多かったため、自動で売れるウェブサイトを作ったことです。
サイトでは、会員がほしい種類のカード情報を検索し、「買い物かご」に入れて精算すると、すぐにダウンロードできました。代金は、ネット上の電子通貨の口座から自動で引き落とされました。カード1件あたりの値段は約20ドルでした【認定】。
Carder.su の組織全体による被害は、少なくとも5,089万ドルに上ります（米司法省）。
12時間で900万ドル、日本の ATM も
もう一つの事件は、2008年11月の決済処理会社 RBS WorldPay への攻撃です。当時、英ロイヤル・バンク・オブ・スコットランドの米国部門で、米ジョージア州アトランタにありました。
米司法省によると、ハッカーの一団は給与の受け取りに使うデビットカードの暗号化を破り、口座の引き出し限度額を100万ドル超に引き上げました。偽造した44枚のカードを、世界の「引き出し役」に配ります。12時間足らずのうちに、日本を含む少なくとも280都市、2,100台を超える ATM から900万ドル以上が引き出されました【当局の主張】。
Seleznev はこの事件で、引き出し役として加わったことを認めています。5件のカード番号を使って、217万8,349ドルを引き出しました【認定】。
転落
モロッコでの負傷
2011年、Seleznev はモロッコで爆弾テロに巻き込まれ、重傷を負います。判決前に弁護側が出した書面では、父に会おうとしていたカフェでの自爆テロで頭に重いけがを負い、医師からは意識が戻らない可能性も告げられたとされています（NBC News）【本人の説明】。
この事件は、2011年4月28日にマラケシュのカフェ「アルガナ」で起き、17人が死亡した爆弾テロとみられます（編集部の照合）。
Black Hat での検察官の説明によると、負傷の後、Seleznev はロシアに戻り、2012年1月に店を閉じました【当局の主張】。
「2pac」としての復帰
それでも、彼は戻ってきました。2013年、「2pac」という名のカード販売サイトが現れます。検察官によると、このころには自分で盗んだ情報だけでなく、ほかの大物ハッカーたちが盗んだカード情報も、彼のサイトを通じて売られるようになっていました【当局の主張】。
セキュリティ記者の Brian Krebs は2014年10月、2pac がこの世界でとても人気のあるカード販売サイトだったと書いています。米検察はこの月、2pac での販売についての罪を11件追加しました（KrebsOnSecurity）【当局の主張】。
モルディブでの拘束
2014年7月5日、Seleznev はモルディブで拘束されました（シアトルの検察の発表。グアムの検察は6日としています）。米国とモルディブのあいだに犯罪人引き渡し条約はありません。検察官によると、通常なら半年から4年かかる引き渡しの手続きを経ずに、シークレットサービスは約2日でモルディブに入り、さらに3日ほどで彼を米国の管轄に移しました【当局の主張】。
移送先は米領グアムでした。7月7日、グアムで最初の審理が開かれ、勾留が決まります。2011年3月にシアトルで起訴されていたことも、このとき公表されました（米司法省）。
ロシア外務省は、これを「誘拐」だと非難しました。下院議員の父も「誘拐」だとして、モルディブへの経済制裁を求めています（ABA Journal、The Moscow Times）【本人の説明】。
グアムの連邦地裁判事は2014年8月、国外での拘束は米国の判例のもとで許されるとして、弁護側の訴えを退けました（ABA Journal）【認定】。
その間、2pac のトップページには、運営者が自動車事故で入院しているという、2014年8月8日付のおわびが載りました。Krebs は、Seleznev の拘束がサイトの停止を説明していると書いています【報道】。
ノートパソコンが語ったこと
検察官たちにとって、拘束時に押収したノートパソコンは「宝の山」でした。Black Hat で Harold Chun 検察官が語った内容を、Dark Reading はこう伝えています【当局の主張】。
パソコンには170万件のカード番号が入っていました。盗んだカードの使い方を教えるために作ったウェブページもあり、そこには「これは違法なやり方だということを忘れずに」と書かれていました。
旅行の前には、米国の裁判記録の検索サービスで自分の名前や別名を調べ、出国しても安全かを確かめていた形跡もありました。複数のアカウントで同じパスワードを使い回していたため、パソコンのパスワードも推測できたといいます。
決定的だったのは、犯罪に使う名義のメールアドレスを、私生活にも使っていたことです。Barbosa 検事補によると、彼はそのアドレスで、家族に贈る花を自分の名前と電話番号で注文していました【当局の主張】。
編集部作成の図／米司法省の発表と報道をもとに作成
Seleznev をめぐる三つの事件と関係者
- シアトルの事件（評決）レジ端末への侵入500社超の店が被害。懲役27年
- ネバダの事件（有罪答弁）Carder.su会員制のカード闇市場。55人が起訴された捜査の一部
- ジョージアの事件（有罪答弁）RBS WorldPay への攻撃2008年、12時間で900万ドル超を ATM から引き出す
- 捜査（米司法省）米シークレットサービスシアトル市警などとの合同チーム。FBI もジョージアの事件を捜査
- 拘束に協力（控訴審の判断）モルディブ当局引き渡し条約はないが、承認と協力のもとで拘束
裁判と判決
8日間の裁判
2016年8月、シアトルの連邦地裁で陪審裁判が開かれました。弁護側は、拘束後にパソコンが改ざんされた可能性を主張し、Seleznev 自身も、米政府か別のハッカーにはめられたと訴えました（Infosecurity Magazine、Dark Reading）【本人の説明】。
陪審は6時間の評議で、通信詐欺など38件で有罪の評決を出しました。2016年8月25日のことです【認定】。検察官は Black Hat で、Seleznev が担当検察官に賄賂を持ちかけたとも述べています【当局の主張】。
懲役27年
2017年4月21日、Richard A. Jones 判事は懲役27年を言い渡しました。検察は30年を求めていました。Dark Reading などによると、約1億7,000万ドルの賠償も命じられています【認定】。
判決を前に、Seleznev は判事への手紙で、自分の選択の責任を受け入れると書きました。弁護側は、母親の死をきっかけに犯罪に向かったこと、強盗に拷問された経験、モロッコでの負傷を挙げて寛大な判決を求めました【本人の説明】。
検察は、インドネシアのバリ島に持つ不動産や、モルディブで最も高い別荘を借りたという本人の自慢を示しました。判事は、Seleznev が罪のない人々の犠牲の上で豪華なリゾートを楽しみ、強欲に動かされていたと述べています（NBC News）【報道】。
弁護人の Igor Litvak は、ほかのサイバー犯罪者にはない不当に重い刑で、米ロの緊張という政治が絡んでいると批判しました（NBC News）【本人の説明】。
三つの裁判が終わる
2017年9月、Seleznev はアトランタの連邦地裁で、RBS WorldPay の事件とネバダ州の Carder.su の事件について有罪を認めます。11月30日、Steve C. Jones 判事は二つの事件でそれぞれ懲役14年を言い渡し、27年の刑と同時に服役すると決めました【認定】。
Carder.su を標的にした捜査「Operation Open Market」では、55人が起訴され、その時点で33人が有罪となっていました（米司法省）。
その後
控訴棄却
2019年4月、第9巡回区控訴裁判所は Seleznev の控訴を退けました。Courthouse News によると、裁判所は、米国とモルディブのあいだに引き渡し条約はなく、拘束はモルディブの承認と協力のもとで行われたとして、起訴を取り消すほどの違法はなかったと判断しました。パソコンの証拠が古すぎるという主張も、2014年にも動いていた 2pac に結び付く電子通貨の口座が含まれていたとして退けています【認定】。
捕虜交換での帰国
2024年8月1日、米ロなどのあいだで、24人が解放される大規模な捕虜交換が行われました。ロシアは Wall Street Journal 記者の Evan Gershkovich ら16人を解放し、西側は8人のロシア人を帰国させました。その中に、Seleznev と、別のハッキング事件で服役していた Vladislav Klyushin が含まれていました（KrebsOnSecurity）【報道】。
懲役27年の刑に対し、拘束から帰国までは約10年でした（編集部の計算）。プーチン大統領は、交換で帰国した人々とモスクワで会っています（Current Time）。
ロシアでの新しい事業
ロシアの調査報道プロジェクト「Sistema」によると、Seleznev は2025年2月、ロシアで「Муравьи（アリ）」という会社を登録しました。国内外への小包の配送を仲介するサービスで、テレグラムのグループには1万人近くが参加しています。Seleznev は Sistema の取材にコメントしませんでした（Current Time、2025年5月）【報道】。
分かっていないこと
- 被害を受けた店の数は、米司法省の発表では「500社超」、検察官の講演を伝えた Dark Reading では「400件を超える POS への侵入」です。数え方が違う可能性があります。
- 1億7,000万ドルの賠償や、ネバダ州・ジョージア州の事件の賠償が、どれだけ支払われたかは確認できていません。
- 2pac の運営をほかの誰かが引き継いだのか、その後どうなったのかは、確認した資料には書かれていません。
- モロッコでの負傷の程度は、主に弁護側の説明です。
- 2025年5月以降の Seleznev の活動は、本稿では確認していません。
出典
確認日はすべて2026年10月20日。
- 米連邦検事局 ワシントン西部地区「Russian Hacker Arrested for Computer Hacking Scheme that Victimized Thousands of Credit Card Customers」2014-07-07。https://www.justice.gov/usao-wdwa/pr/russian-hacker-arrested-computer-hacking-scheme-victimized-thousands-credit-card
- 同「Russian Cyber-Criminal Convicted Following Eight-Day Trial」2016-08-25。https://www.justice.gov/usao-wdwa/pr/russian-cyber-criminal-convicted-following-eight-day-trial
- 米司法省「Russian Cyber-Criminal Sentenced to 27 Years in Prison for Hacking and Credit Card Fraud Scheme」2017-04-21。https://www.justice.gov/archives/opa/pr/russian-cyber-criminal-sentenced-27-years-prison-hacking-and-credit-card-fraud-scheme
- 米連邦検事局 ジョージア北部地区「Russian cybcercriminal Roman Seleznev pleads guilty in Atlanta」2017-09-08。https://www.justice.gov/usao-ndga/pr/russian-cybcercriminal-roman-seleznev-pleads-guilty-atlanta
- 米司法省「Russian Cyber-Criminal Sentenced to 14 Years in Prison for Role in Organized Cybercrime Ring Responsible for $50 Million in Online Identity Theft and $9 Million Bank Fraud Conspiracy」2017-11-30。https://www.justice.gov/archives/opa/pr/russian-cyber-criminal-sentenced-14-years-prison-role-organized-cybercrime-ring-responsible
- Dark Reading「Inside the Investigation and Trial of Roman Seleznev」（Kelly Sheridan）2017-07-28。https://www.darkreading.com/threat-intelligence/inside-the-investigation-and-trial-of-roman-seleznev
- NBC News「Russian hacker Roman Seleznev gets 27 years for U.S. cyberattacks」2017-04-21。https://www.nbcnews.com/news/us-news/russian-hacker-roman-selezny-gets-27-years-u-s-cyberattacks-n749531
- KrebsOnSecurity「Seleznev Arrest Explains ‘2Pac’ Downtime」2014-10-15。https://krebsonsecurity.com/2014/10/seleznev-arrest-explains-2pac-downtime/
- ABA Journal「Judge says Russian’s arrest in Maldives was legal; he will face charges in US」2014-08-01。https://www.abajournal.com/news/article/judge_says_russians_arrest_in_maldives_was_legal
- The Moscow Times「Russian Politician Wants Maldives Punished for Son’s ‘Kidnapping’」2014-07-09。https://www.themoscowtimes.com/all/37156
- Infosecurity Magazine「Son of Russian MP Convicted on Hacking Charges」2016-08。https://www.infosecurity-magazine.com/news/son-of-russian-mp-convicted-on/
- Courthouse News「Ninth Circuit Upholds 27-Year Sentence for Russian Hacker」2019-04-02。https://www.courthousenews.com/ninth-circuit-upholds-27-year-sentence-for-russian-hacker/
- KrebsOnSecurity「U.S. Trades Cybercriminals to Russia in Prisoner Swap」2024-08-01。https://krebsonsecurity.com/2024/08/u-s-trades-cybercriminals-to-russia-in-prisoner-swap/
- Current Time（Настоящее Время）／Sistema「Муравьи」記事 2025-05-26（ロシア語）。https://www.currenttime.tv/a/seleznev-muravi/33424325.html
- Al Jazeera「Death sentence for Morocco bomber」2011-10-29（マラケシュの事件の日付と死者数）。https://www.aljazeera.com/news/2011/10/29/death-sentence-for-morocco-bomber
更新履歴
- 2026年10月20日：公開。
コメント