APT28とは？

📅 最終更新：2026年8月5日

【読み方】

エー・ピー・ティー・トゥエンティエイト

【英語表記】
APT28
（エー・ピー・ティー・トゥエンティエイト）
APT：Advanced Persistent Threat
（アドバンスト・パーシステント・スレット）

APT28とは、ロシアの軍事情報機関GRUとの関係が各国政府などから指摘されている、国家支援型のサイバー攻撃活動を追跡する際に広く使われている名称です。

長期間にわたって観測されており、政府機関、軍事・安全保障関連組織、外交機関、研究機関、メディアなどを標的とする活動が報告されています。

APT28は一つの名称だけで呼ばれているわけではありません。

セキュリティ企業などによって…

…など、さまざまな名称で関連する活動が追跡されてきました。

ただし、これらの名称が常に完全に同じ活動範囲を意味するとは限りません。

各セキュリティ企業は、自社が観測したインフラ、マルウェア、攻撃手法、標的、活動時期などをもとに独自の分類を行っています。

そのため、APT28＝Fancy Bear＝Forest Blizzardと完全な同義語として扱うより、それぞれの組織が関連する攻撃活動を追跡するために使用している名称として理解する方が正確です。

APT28を理解するうえで重要なのが、ロシア軍の軍事情報機関であるGRUとの関係です。

米国政府などはAPT28に関連する活動について、GRUの“Unit 26165（第26165部隊）”との関係を公表しています。

そのためAPT28は、単なるサイバー犯罪グループではなく、国家の軍事・情報活動との関係が指摘されている攻撃主体として扱われています。

APT28に関連する活動では、長年にわたりさまざまな攻撃手法が報告されています。

代表的なものには…

…などがあります。

特定の攻撃手法だけを使用する集団ではなく、標的や環境に応じて複数の手法を組み合わせる点にも注意が必要です。

ネット探検ラボでは、APT28を理解するときに、「グループ名を覚えること」よりも、「誰がその名称を使い、どの活動を追跡しているのか」を確認することを重視します。

APTを調べていると、一つの攻撃主体に多数の名前が登場することがあります。

そのため名称だけを追いかけると、別の攻撃集団が大量に存在しているように見えることがあります。

しかし実際には、複数のセキュリティ企業が同一または重複する活動を、それぞれ異なる名称で追跡している場合があります。

一方で、各社の追跡範囲が完全に一致しているとも限りません。

そのためネット探検ラボでは…

国家

↓

情報・軍事機関

↓

部隊

↓

観測された攻撃活動

↓

各社の追跡名称

…という階層をできるだけ分けて考えます。

APT28の場合も、ロシア → GRU → Unit 26165 → APT28に関連付けられる活動 → 各社による追跡名称という関係を整理することで、攻撃主体をより正確に理解できます。

国家支援型攻撃を分析するときには、名称だけで断定するのではなく、政府機関の公表資料、技術報告、観測されたTTPなど、複数の情報を積み上げて判断することが重要です。