サイバー攻撃に関する報道では、ランサムウェアの影響による業務停止、個人情報の流出、不正ログインなどが大きく取り上げられます。
これらの攻撃の多くは、金銭の獲得を主な目的としています。
しかし、サイバー空間には、金銭だけでは説明できない攻撃も存在します。
長期間にわたり組織のネットワークへ潜伏する。
重要な認証情報を収集する。
通信、電力、水道、運輸、製造、行政機関などの内部構造を調べる。
企業が保有する研究開発情報、製造技術、設計情報、企業秘密などへ接近する。
その背後に、国家の政策や安全保障上の目的が存在すると指摘されているのが、政府系サイバー攻撃グループ、いわゆる「国家支援型APT」です。
ネット探検ラボでは、これから政府系APTによるものと思われるサイバー攻撃を継続的に収集し、攻撃手法、標的、目的、国家戦略との関連性を検証していきます。
本稿は、その第一号記事です。
APTとは何か
APTは「Advanced Persistent Threat」の略称です。
日本語では一般に「高度で持続的な脅威」などと訳されます。
ただし、APTという言葉は、単に高度な技術を使用する攻撃者だけを意味するものではありません。
明確な目的を持ち、標的となる組織を選定し、長期間にわたって侵入、偵察、権限拡大、情報収集などを継続する攻撃活動を指して使用されます。
APTの特徴は、侵入直後に大きな障害を起こすとは限らないことです。
ランサムウェアであれば、暗号化や身代金要求によって攻撃が表面化します。一方、諜報活動を目的とするAPTにとっては、攻撃の発覚そのものが作戦の失敗につながります。
そのため、攻撃者は可能な限り目立たず、正規の認証情報やシステム管理ツールを利用し、通常の管理作業に紛れながら活動する場合があります。
攻撃が発覚していない期間は、必ずしも「何も起きていない期間」ではありません。
防御側が気付かないまま、攻撃者が内部調査を進めている期間である可能性もあります。
なぜ国家はサイバー攻撃を行うのか
国家を背景とするサイバー活動には、複数の目的が考えられます。
代表的なものには、次のような目的があります。
- 政府や軍事機関からの情報収集
- 外交交渉に関する情報の把握
- 防衛・宇宙・通信技術の取得
- 企業の知的財産や研究開発情報の窃取
- 重要インフラへの事前侵入
- 有事に使用できる妨害手段の確保
- 国外にいる反体制派や批判者の監視
- サプライチェーンや社会構造の把握
- 外貨や暗号資産の獲得
サイバー攻撃は、物理的な軍事行動と比べて、攻撃主体の特定が難しく、比較的低いコストで実行できる非対称な手段とされています。日本の防衛白書も、多くの国がサイバー攻撃能力を構築・強化しているとの認識を示しています。
国家系APTの活動を理解するには、使用されたマルウェアや脆弱性だけを見るのでは不十分です。
「なぜその組織が選ばれたのか」
「攻撃者はどの情報を必要としていたのか」
「その情報は国家のどの政策や産業に役立つのか」
ここまで考える必要があります。
国家を背景とするサイバー活動には、複数の目的が考えられます。
代表的なものには、次のような目的があります。
- 政府や軍事機関からの情報収集
- 外交交渉に関する情報の把握
- 防衛・宇宙・通信技術の取得
- 企業の知的財産や研究開発情報の窃取
- 重要インフラへの事前侵入
- 有事に使用できる妨害手段の確保
- 国外にいる反体制派や批判者の監視
- サプライチェーンや社会構造の把握
- 外貨や暗号資産の獲得
サイバー攻撃は、物理的な軍事行動と比べて、攻撃主体の特定が難しく、比較的低いコストで実行できる非対称な手段とされています。日本の防衛白書も、多くの国がサイバー攻撃能力を構築・強化しているとの認識を示しています。
国家系APTの活動を理解するには、使用されたマルウェアや脆弱性だけを見るのでは不十分です。
「なぜその組織が選ばれたのか」
「攻撃者はどの情報を必要としていたのか」
「その情報は国家のどの政策や産業に役立つのか」
ここまで考える必要があります。
世界で活動する政府系サイバー攻撃グループ
国家を背景とするサイバー活動には、複数の目的が考えられます。
代表的なものには、次のような目的があります。
- 政府や軍事機関からの情報収集
- 外交交渉に関する情報の把握
- 防衛・宇宙・通信技術の取得
- 企業の知的財産や研究開発情報の窃取
- 重要インフラへの事前侵入
- 有事に使用できる妨害手段の確保
- 国外にいる反体制派や批判者の監視
- サプライチェーンや社会構造の把握
- 外貨や暗号資産の獲得
サイバー攻撃は、物理的な軍事行動と比べて、攻撃主体の特定が難しく、比較的低いコストで実行できる非対称な手段とされています。日本の防衛白書も、多くの国がサイバー攻撃能力を構築・強化しているとの認識を示しています。
国家系APTの活動を理解するには、使用されたマルウェアや脆弱性だけを見るのでは不十分です。
「なぜその組織が選ばれたのか」
「攻撃者はどの情報を必要としていたのか」
「その情報は国家のどの政策や産業に役立つのか」
ここまで考える必要があります。
世界で活動する政府系サイバー攻撃グループ
政府との関係が指摘されている攻撃グループは、世界各地で確認されています。
中国との関係が指摘されるグループには、Volt Typhoon、Salt Typhoon、APT10、APT31、APT41、Mustang Pandaなどがあります。
ロシアとの関係が指摘されるグループには、APT28、APT29、Sandwormなどがあります。
北朝鮮との関係が指摘されるグループには、Lazarus、Kimsuky、Andarielなどがあります。
イランとの関係が指摘されるグループには、MuddyWater、OilRig、Charming Kittenなどがあります。
ただし、APTの名称には注意が必要です。
同一または関連する攻撃活動であっても、調査したセキュリティ企業や政府機関によって異なる名称が付けられることがあります。
逆に、同じ名称で呼ばれていても、すべての活動が同一人物または同一組織によって実行されたと確定しているとは限りません。
国家との関係を評価する際にも、政府機関による公式な帰属判断、刑事起訴、セキュリティ企業による技術分析、攻撃インフラの共通性など、根拠の強さを分けて考える必要があります。
Volt Typhoonとは何者なのか
今回、政府系APTを取り上げるきっかけとなったのが、Volt Typhoonです。
Volt Typhoonは、中国を拠点とする国家系攻撃グループとして、Microsoftや米国政府機関などから公表されています。
Microsoftによると、Volt Typhoonは少なくとも2021年半ばから活動し、通信、製造、公益事業、運輸、建設、海運、政府、情報技術、教育などの分野を標的としてきました。
このグループの特徴として注目されているのが、「Living Off The Land」と呼ばれる手法です。
これは、攻撃専用の目立つマルウェアだけに依存せず、侵入先のOSやネットワークに最初から備わっている正規のコマンド、管理機能、認証情報などを悪用するものです。
正規ツールを利用した活動は、通常のシステム管理作業と区別することが難しく、従来型のウイルス検知や既知の不正ファイルだけを探す方法では発見が困難になる場合があります。
米国のCISAなどは、Volt Typhoonが複数の重要インフラ分野のITネットワークへ侵入し、将来的にOT、すなわち制御・運用機能を妨害するための事前配置を進めていたとの評価を示しています。
ここで重要なのは、確認された侵入が、直ちに破壊活動へ移行したとは限らないことです。
攻撃者がアクセスを維持し、有事の際に使用できる状態を準備しているという点が問題視されています。
これは、平時と有事の境界を曖昧にする活動です。
表面上は何も起きていなくても、攻撃者がすでに電力、通信、交通、水道、港湾などの内部へ足場を築いているとすれば、危機発生時の選択肢を相手国へ与えることになります。
日本でも無関係ではない
Volt Typhoonについて、公表された情報の中心は米国やグアムの重要インフラです。
現時点で、Volt Typhoonが日本の特定の市役所へ侵入したと断定できる公的情報は、慎重に見極める必要があります。
しかし、日本が無関係という意味ではありません。
JPCERT/CCは2024年6月、Volt Typhoonに関連する「Operation Blotless」について注意喚起を公表しました。
その中では、インターネットに接続されたアプライアンスを経由して侵入し、Active Directoryの認証情報に関係するNTDSファイルを窃取する活動などが説明されています。
また、侵害の痕跡が残る場所が少なく、過去の侵害有無を調査することが通常のAPT事案より困難になる可能性も指摘されています。
JPCERT/CCは、従来のIoC、すなわち既知の不正IPアドレス、ファイル、ドメインなどを照合するだけでは不十分であり、攻撃者の行動を探す「脅威ハンティング」の重要性も示しています。
日本の自治体、企業、大学、研究機関、重要インフラ事業者も、海外製のネットワーク機器、VPN装置、ファイアウォール、クラウドサービス、業務委託先などに依存しています。
攻撃者から見れば、中央政府や大企業だけが入口ではありません。
地方拠点、グループ会社、保守事業者、サプライヤー、共同研究先など、比較的防御の弱い場所を経由して、より価値の高いネットワークへ接近することも考えられます。
日本企業が保有する最先端技術
政府系APTを考えるうえで、ネット探検ラボが特に重視したいのが、企業が保有する最先端技術へのアクセスです。
サイバー攻撃による被害というと、個人情報や顧客情報の漏えいが最初に注目されます。
しかし、国家を背景とする攻撃者が狙う情報は、それだけではありません。
企業が長い年月と研究開発費を投じて蓄積した、次のような情報が標的になり得ます。
- 製品や部品の設計図
- ソースコード
- 材料の配合や加工条件
- 製造装置の設定値
- 実験データ
- 試作品の評価記録
- 不具合と改善の履歴
- 特許出願前の研究成果
- 共同研究先との通信
- 開発担当者のメール
- 将来の製品計画
- 調達先やサプライチェーン情報
過去には、中国国家安全部との関係が指摘されたAPT10が、マネージドサービス事業者を経由し、世界各国の企業や政府機関へ侵入したとして米司法省から起訴されています。
対象には、通信、家電、医療機器、製造、バイオテクノロジー、自動車、資源開発など、多様な業種が含まれていました。米司法省は、知的財産や企業の機密情報が窃取されたとしています。
また、2020年に米司法省が起訴した中国国家安全部との関係が指摘される攻撃者は、日本を含む複数国のハイテク製造、医療機器、産業工学、ソフトウェア、太陽光発電、製薬、防衛などを標的としていたとされています。
APT41に関する米司法省の発表でも、ハイテク企業を含む100以上の組織が標的とされ、ソフトウェア供給元を侵害して顧客へ到達するサプライチェーン攻撃が使用されたと説明されています。
これらは、政府系APTと企業の技術情報窃取を結びつける議論が、単なる想像ではないことを示しています。
日本の防衛白書も、中国がサイバー空間において日常的に技術窃取を実施しているとされるとの認識を示しています。
経済産業省も、企業の技術流出は日本の経済安全保障上の深刻な問題であると位置付けています。
同省の技術流出対策ガイダンスでは、重要な技術情報がサイバー空間上で保存・流通しており、システム管理が不十分な場合には、サイバー攻撃によって技術情報が流出する危険があると指摘されています。
完成した設計図だけが価値を持つのではない
技術窃取という言葉から、「完成した新製品の設計図を盗む」という場面を想像するかもしれません。
しかし、技術開発の価値は、完成した成果物だけに存在するものではありません。
研究途中のデータ、失敗した実験の記録、採用されなかった設計、品質上の問題、改善の過程にも価値があります。
競合する国家や企業にとっては、相手が何を試し、どこで失敗し、どの方向へ進もうとしているのかを知ること自体が、研究開発の時間や費用を短縮する材料になります。
一つのファイルだけでは意味が分からなくても、メール、設計情報、実験結果、組織図、会議資料などを長期間収集して相互に結び付ければ、企業の技術開発構造や将来戦略が見えてくる可能性があります。
さらに、日本の産業競争力を支える技術は、広く知られた大企業だけに存在するわけではありません。
地方の中堅・中小企業が、特殊な素材、精密加工、工作機械、半導体製造装置、センサー、化学製品、光学部品、ロボット部品など、世界的に代替困難な技術を保有している場合があります。
攻撃者がその企業名を知らなくても、大手企業、大学、研究機関、取引先の通信や文書から、重要な供給元を特定できる可能性があります。
したがって、サプライチェーンの末端にある企業も、国家レベルのサイバー活動と無関係ではありません。
経済産業省が2026年に公開した企業事例集でも、関連サプライヤーへのサイバー攻撃によって技術情報が流出し、製品出荷にも影響が生じた事例が紹介されています。
「窃取された証拠がない」の意味
ここからは、確認された事実ではなく、それらを踏まえた推論です。
ある企業で外部侵入が確認されたとしても、直ちに最先端技術が窃取されたと断定することはできません。
侵入先が一般的な業務端末に限られていたのか。
研究開発ネットワークまで到達していたのか。
設計データを閲覧できる権限があったのか。
実際に外部送信が行われたのか。
これらは、ログや端末、認証履歴、ネットワーク通信などを詳しく調査しなければ判断できません。
一方で、情報持ち出しの証拠が発見されなかったことだけを理由に、「重要情報は安全だった」と結論付けることにも注意が必要です。
ログの保存期間が短い。
ネットワーク機器に十分な記録が残っていない。
攻撃者が正規の認証情報を使っている。
大量送信ではなく、少量ずつ持ち出している。
クラウドや正規サービスを中継している。
このような場合、過去のアクセスや持ち出しを完全に再現できない可能性があります。
したがって、政府系APTの調査では、単に「何が盗まれたか」だけではなく、次の点を確認する必要があります。
- 攻撃者はどのシステムまで到達したのか
- どの認証情報を取得したのか
- どの権限を使用できたのか
- どの情報を閲覧できる状態だったのか
- 組織構造や技術開発環境をどこまで把握したのか
- 一度排除した後も再侵入できる経路が残っていないか
侵入された形跡が見つからないことと、侵入されていないことは同じではありません。
持ち出しの証拠が確認できないことと、攻撃者が情報へアクセスできなかったことも同じではありません。
これは不安をあおるための表現ではなく、調査可能な範囲の限界を正しく認識するための視点です。
Volt Typhoonと技術窃取を混同しない
ここで、重要な区別があります。
中国系APTによる技術情報や知的財産の窃取は、過去の起訴や公的発表によって繰り返し指摘されています。
しかし、それを根拠として、Volt Typhoonのあらゆる活動を技術窃取目的と断定することはできません。
Volt Typhoonについて米国政府が特に強く警告しているのは、重要インフラ内部への長期潜伏と、有事に運用を妨害するための事前配置です。
同じ国との関係が指摘されるグループであっても、担当する任務、標的、目的、使用する手法が異なる可能性があります。
重要インフラへの事前配置。
外交・政治情報の収集。
企業の技術窃取。
国外批判者の監視。
これらをすべて一つの攻撃活動として扱うと、かえって実態を見誤ります。
ネット探検ラボでは、国家や国籍だけで攻撃目的を決め付けず、個別の事案ごとに、確認された技術的事実と、そこから導かれる推論を分けて検証します。
発覚の経緯を追う
政府系APTの分析では、攻撃手法だけでなく、「どのように発覚したのか」を追うことも重要です。
発覚のきっかけには、さまざまなものがあります。
- セキュリティ製品の警告
- 通常と異なる認証
- 海外機関からの通報
- ネットワーク通信の異常
- 脆弱性調査
- 別の被害組織との共通点
- 攻撃インフラの押収
- 刑事捜査
- 脅威ハンティング
発覚経緯を見ることで、防御側が何を検知でき、何を見逃していたのかが分かります。
特にVolt Typhoonのように、正規機能を悪用して痕跡を減らす攻撃では、既知のマルウェアを待ち受けるだけでは不十分です。
通常の業務や管理作業がどのようなものかを把握したうえで、そこから外れる小さな変化を探す必要があります。
発覚とは、攻撃側の秘匿戦略と、防御側の監視・調査能力が初めて交差する瞬間でもあります。
ネット探検ラボが構築するデータベース
ネット探検ラボが構築するデータベース
ネット探検ラボでは、世界中で公表されるサイバー攻撃の中から、政府系APTによるものと思われる事案を継続的に収集していきます。
ただし、単に攻撃グループ名と被害企業名等を並べるだけではありません。
一件ごとに、可能な限り次の項目を整理します。
- 事案の発生日または推定活動期間
- 被害公表日
- 発覚の経緯
- 攻撃対象国
- 被害組織と業種
- 攻撃グループ名と別名
- 国家との関係を示す根拠
- 使用された脆弱性
- 初期侵入経路
- 使用されたマルウェアや正規ツール
- 認証情報の窃取
- 横展開や権限拡大
- 潜伏期間
- 標的となった情報
- 技術情報や知的財産との関係
- 重要インフラとの関係
- サプライチェーン上の位置
- 攻撃目的に関する評価
- 公的機関や調査企業の出典
- 確認された事実
- ネット探検ラボによる推論
- 防御側への教訓
このデータを100件、200件と積み重ねれば、個別記事だけでは見えない傾向が浮かび上がる可能性があります。
特定の産業分野に攻撃が集中していないか。
半導体、AI、宇宙、通信、医療、素材などの技術分野と関係していないか。
大企業への直接侵入ではなく、サプライヤーや保守事業者が入口になっていないか。
国際情勢が変化する前に、特定の重要インフラへの侵入が増えていないか。
使用される脆弱性、侵入装置、正規ツール、攻撃対象地域に共通点はないか。
一件の攻撃だけでは偶然に見えるものも、継続的な記録によって一つの傾向として観測できるようになるかもしれません。
データベース作成で守るべき原則
政府系APTの分析は、国家間の対立や政治的主張と結び付きやすい分野です。
だからこそ、慎重な記録が必要です。
ネット探検ラボでは、次の原則を基本とします。
第一に、公的機関、被害組織、信頼できるセキュリティ企業などの一次資料を優先します。
第二に、確認された事実と推論を明確に分けます。
第三に、攻撃グループ名や国家への帰属を断定する場合は、その根拠を示します。
第四に、被害組織が公表していない被害内容を、推測だけで事実として記載しません。
第五に、流出した個人情報や企業秘密の内容を興味本位で扱いません。
第六に、攻撃者の手法を分析し、その知見を防御側へ還元します。
目的は、特定の国家や国民を敵視することではありません。
サイバー空間で実際に起きている活動を、可能な限り客観的に観測し、日本の企業、行政、研究機関、重要インフラの防御に役立てることです。
政府系APTは遠い世界の話ではない
国家による諜報活動というと、政府機関、軍事施設、巨大企業だけの問題に見えるかもしれません。
しかし、現代の技術開発と社会インフラは、数多くの組織によって支えられています。
一つの製品が完成するまでには、素材企業、部品メーカー、大学、研究所、物流会社、IT事業者、保守会社などが関わります。
自治体も、住民サービスだけでなく、地域の交通、医療、防災、水道、企業支援など、多くの情報とシステムを保有しています。
攻撃者は、最も有名な組織ではなく、目的の情報へ到達しやすい組織を選ぶ可能性があります。
その意味で、日本の地方企業や自治体も、世界規模のサイバー活動と地続きです。
特に日本の場合、企業が保有する最先端技術への不正アクセスと窃取は、企業一社の損失だけでは終わりません。
長年蓄積された技術的優位、産業競争力、供給網の不可欠性、さらには国の安全保障基盤を弱める問題につながります。
ネット探検ラボの視点
政府系APTによるサイバー攻撃は、表面化した一件の事件だけを見ても、その全体像を理解することはできません。
攻撃者は、今日侵入して明日成果を得ようとしているとは限りません。
数か月、数年という期間をかけて、組織、人間関係、システム、技術、取引先などを理解している可能性があります。
そして、そのアクセスが直ちに使用されるとは限りません。
外交対立、軍事危機、経済摩擦などが生じた時に初めて、過去に確保した足場が意味を持つ場合も考えられます。
だからこそ、一件一件を記録する必要があります。
ネット探検ラボでは、政府系APTによるものと思われる事案を、単発のニュースとして消費しません。
標的の選定、侵入方法、発覚の経緯、保有技術、国家戦略との関連性を継続的に記録し、検証していきます。
その蓄積から、攻撃者が何を見ているのか、どの分野を重視しているのか、日本がどこを守らなければならないのかを探っていきます。
ニュースを追うだけではなく、その向こう側を探検する。
政府系サイバー攻撃グループをめぐる長い調査は、ここから始まります。
次回予告
次回は、本稿で取り上げた中国系攻撃グループ「Volt Typhoon」について、さらに詳しく見ていきます。
- どのような組織を標的としているのか
- Living Off The Landとは何か
- なぜ発見が難しいのか
- 家庭用・小規模事業者向け機器がどのように悪用されるのか
- 重要インフラへの事前配置とは何を意味するのか
- 日本の組織は何を警戒すべきか
公表された事実と推論を分けながら、その活動を検証します。
コメント