― 日本は、中国政府系サイバースパイ攻撃を自力で発見できるようになったのか？
2020年秋。
中国人民解放軍系とみられるサイバースパイが、日本の防衛機密を扱うネットワークの奥深くに侵入していました。
しかも、一時的な侵入ではありません。
攻撃者はネットワーク内部に深く入り込み、持続的なアクセスを確立し、防衛計画、防衛能力、軍事上の弱点評価など、日本の安全保障に直結する情報を狙っていたとされています。
ところが――。
それを発見したのは、日本ではありませんでした。
米国家安全保障局、NSAです。
もし、あなたの会社のネットワークが今この瞬間、外国の情報機関に覗かれていたとしたら。
しかも、経営者も、システム管理者も、セキュリティ担当者も、その侵入に誰一人気づいていないとしたら。
これは仮定の話ではありません。
日本政府の中枢で実際に起きていたと、複数の日米政府関係者への取材によって報じられていることです。
そして、この話にはさらに深刻な続きがあります。
米国から警告を受けた後も、問題はすぐには解決しませんでした。
2021年初頭になっても中国側のアクセスが残っていると米側は認識し、同年秋には日本側の対処が十分に進んでいないとして、再び米政府高官が日本へ働きかけることになります。
発見できなかった。
米国から警告された。
それでも、すぐには排除できなかった。
ここに、日本のサイバー防衛が抱えていた問題が凝縮されています。
あれから約6年。
日本は今度こそ、中国政府系サイバースパイによる「見えない攻撃」を、自分たちの力で見つけられるようになったのでしょうか。
この記事では、何が起きたのか、なぜ日本には見えなかったのか、そして約6年間で何が変わったのかを追います。
1．2020年、何が起きたのか
2023年8月7日、米紙ワシントン・ポストは、日米の現職・元政府関係者らへの取材をもとに、衝撃的な内容を報じました。
2020年秋、米国の“NSA（エヌエスエー：National Security Agency＝国家安全保障局）”が、中国人民解放軍系のサイバースパイによる日本の機密防衛ネットワークへの侵入を発見したというのです。
攻撃者は「deep, persistent access」。
つまり、ネットワークに深く、持続的にアクセスできる状態を築いていたとされています。
狙われていたとされたのは、防衛計画、防衛能力、軍事上の弱点評価などでした。
米側は事態を極めて重大に受け止めます。
当時、NSA長官と米サイバー軍司令官を兼ねていたポール・ナカソネ陸軍大将と、ホワイトハウス国家安全保障担当副補佐官だったマット・ポッティンジャー氏が来日しました。
当時、日本の防衛行政を預かっていたのは岸信夫防衛大臣。
内閣総理大臣は菅義偉首相でした。
ナカソネ氏とポッティンジャー氏は岸防衛相に、中国人民解放軍系とみられるサイバースパイが日本の防衛ネットワークへ侵入していることを説明し、その重大性から菅首相にも情報が伝えられたと報じられています。
つまり日本政府はこの時、同盟国アメリカから、
「あなたたちの防衛ネットワークに、中国軍系サイバースパイが侵入している」
という極めて重大な警告を直接突きつけられたことになります。
では、その後、日本は直ちに侵害範囲を特定し、攻撃者を排除できたのでしょうか。
残念ながら、話はそう簡単ではありませんでした。
2．米国から警告された後――日本の対応は十分だったのか
ワシントン・ポストの報道によれば、翌2021年初頭になっても、中国側のアクセスは残っていると米サイバー・防衛当局は認識していました。
2020年秋に重大な警告を受けたにもかかわらず、米国側から見れば問題は終わっていなかったことになります。
そこで米サイバー軍は、日本政府のネットワークへ専門チームを入れて侵害状況を調べる“Hunt Forward（ハント・フォワード）”を提案しました。
Hunt Forwardとは、米サイバー軍の専門家が同盟国などのネットワークへ入り、内部に潜伏している攻撃者やマルウェアを探し出す活動です。
しかし、日本側はこの提案をそのまま受け入れませんでした。
外国軍の要員を日本政府の機密ネットワークへ入れることに慎重だったためです。
その懸念自体は理解できます。
国家機密を扱うネットワークを外国軍へ開放することには、当然、主権や情報管理上の問題があります。
しかし、それならば問われなければならないことがあります。
日本自身に、同等の侵害調査能力があったのでしょうか。
米側から重大な侵入を警告され、なおアクセスが残っている可能性を指摘されながら、外国軍の支援を受けないのであれば、日本側には自ら迅速に侵害範囲を特定し、攻撃者を排除する責任があります。
最終的には、日本の国内企業が調査し、その結果をNSAと米サイバー軍の合同チームが確認するという折衷案になったと報じられています。
ところが、さらに時間が経ちます。
2021年秋。
米側は侵害の深刻さを補強する新たな情報を得るとともに、日本側の対処が十分に進んでいないと認識したと報じられています。
そして同年11月、米国家安全保障担当副補佐官のアン・ニューバーガー氏が来日しました。
この時、日本の首相はすでに岸田文雄首相へ交代していました。
防衛大臣は引き続き岸信夫氏です。
国家安全保障政策の実務を担う秋葉剛男国家安全保障局長らとも米側は協議したと報じられています。
時系列を並べると、問題の深刻さが見えてきます。
2020年秋――菅義偉首相・岸信夫防衛相の下で、米国から最初の重大警告。
2021年初頭――米側は中国側アクセスがなお残っていると認識。
2021年秋――米側は日本側の対処が十分に進んでいないと認識。
2021年11月――岸田文雄首相・岸信夫防衛相の下で、米政府高官が再び来日。
これは批判的に検証されるべきです。
日本政府は一度警告されただけではありません。
侵入を自力で発見できなかった。
同盟国から知らされた。
その後もアクセスが残っているとみられた。
そして約1年後にも、米側から対応を促されました。
国家の防衛機密を扱うネットワークです。
「なぜ発見できなかったのか」だけではなく、「警告された後、なぜ速やかに解決できなかったのか」も問われなければなりません。
3．外務省でも――また米国からの警告だった
さらに、同じ2020年には外務省でも重大な問題が起きていたと報じられています。
2024年2月、読売新聞は、外務省本省と海外の大使館・領事館との間でやり取りされる“外交公電（がいこうこうでん）”を扱うシステムが、中国側からサイバー攻撃を受けていた疑いを報じました。
外交公電には、外交交渉や安全保障に関わる機密性の高い情報が含まれます。
報道によれば、米政府が日本側へ警告したのは2020年夏。
当時の内閣総理大臣は安倍晋三首相。
外務大臣は茂木敏充外務大臣でした。
米側から、
「日本の在外公館ネットワークが中国側に見られている」
との趣旨の警告があったとされています。
これを受け、外務省だけではなく、防衛省、警察庁、公安調査庁、内閣情報調査室なども、それぞれのシステムを点検したと報じられました。
ただし、ここでは慎重な区別が必要です。
2020年夏に報じられた外交公電をめぐる問題と、2020年秋の防衛ネットワーク侵害が、同じサイバー作戦の一部だったのか、それとも時期の近い別々の攻撃だったのかは、公開情報からは分かりません。特別調査でも、この二つを同一キャンペーンとして扱える証拠は確認できませんでした。
しかし、共通点があります。
また、最初に警告したのは米国側だったということです。
時系列にすると、さらに印象的です。
2020年夏――安倍晋三首相・茂木敏充外相の時代に、外務省系ネットワークについて米側から警告。
2020年秋――菅義偉首相・岸信夫防衛相の時代に、防衛ネットワークについて米側から警告。
2021年秋から11月――岸田文雄首相・岸信夫防衛相の時代に、米側が日本側の対処の進展不足を問題視し、再び働きかけ。
安倍政権。
菅政権。
岸田政権。
一つの政権だけの問題ではありません。
少なくとも公開報道を追う限り、複数の政権をまたいで、
「日本の重要ネットワークに対する中国系サイバースパイ活動を米国側が先に把握し、日本政府へ知らせる」
という構図が現れています。
4．そして日本政府は、何を説明したのか
では、日本政府はこの問題について国民へ何を説明したのでしょうか。
2023年8月8日、ワシントン・ポスト報道について記者から質問された浜田靖一（はまだ やすかず）防衛相は…
「サイバー攻撃により、防衛省が保有する秘密情報が漏洩したとの事実は確認しておりません」
と説明しました。
ところが、記者がハッキングそのものがあったのかと問い直すと、個別具体的なサイバー攻撃や対応については、日本側の対応能力などを明らかにすることになるため回答できないとしました。
ここは言葉を正確に読む必要があります。
政府は、「侵入はなかった」とは言っていません。
政府が明確に述べたのは、「秘密情報が漏洩したとの事実は確認していない」ということです。
「漏洩を確認していない」と「侵入されていない」は同じ意味ではありません。
さらに、外交公電に関する報道についても、外務省は具体的内容への回答を差し控えています。
もちろん、国家安全保障上、公開できない情報はあります。
攻撃者に日本側の監視能力や調査方法を教えてしまうような情報まで公開すべきではありません。
しかし、それと政府の説明責任は別問題です。
米国から重大な警告を受けた。
その後も侵入が残っていると米側はみていた。
再び米政府高官が対応を促した。
それにもかかわらず…
- いつ侵入を確認したのか。
- どの程度まで侵害されていたのか。
- いつ攻撃者を排除できたのか。
- なぜ日本自身では発見できなかったのか。
…こうした核心部分について、国民が検証できるだけの情報はほとんどありません。
「安全保障だから話せない」だけで終われば、日本政府がこの失敗から本当に何を学んだのかを社会が確認することもできません。
5．なぜ、日本には「見えなかった」のか
ここからが、この問題の本質です。
一つ、たとえ話をします。
空き巣に入られた家で、防犯カメラを確認しようとします。
ところが侵入者は、すでにそのカメラを操作していました。
どこが録画されているかを知っています。
警報が鳴る条件も知っています。
そして、家主が何を見て「異常なし」と判断するのかまで理解しています。
そうなれば、家の中に侵入者がいても、監視画面には「異常なし」と映ることがあり得ます。
近年、中国政府との関係が指摘されるサイバースパイ活動を調べていくと、これに近い考え方が実際の攻撃で使われていることが分かります。
狙われるのはパソコンだけではありません。
- ルーター
- VPN
- 認証システム
- 仮想化基盤
- ネットワーク管理サーバー
- ログを生成・転送するシステム
つまり、組織がネットワークを動かし、同時に“「正常なのか、異常なのか」を判断するために信頼している基盤そのもの”です。
これを“Trusted Infrastructure（トラステッド・インフラストラクチャ＝信頼された基盤）”と考えると、問題が見えやすくなります。
6．この疑問から、ネット探検ラボの調査は始まった
2020年の事件について資料を追うほど、私たちにはいくつもの疑問が残りました。
中国政府との関係が指摘されるサイバースパイ活動は、いつから日本を狙っていたのか。
その背後には、どのような国家機関、組織、企業、人物、攻撃インフラが存在するのか。
そして現在、攻撃者はどこまでネットワークの深い場所へ入り込めるようになっているのか。
そこでネット探検ラボでは、この問題を一度に結論づけるのではなく、段階的に調査しました。
最初のMISSION-001では、2020年より前に確認・報告されていた、中国または中国系脅威アクターとの関連が指摘される対日APT活動を遡りました。
次のMISSION-002では、その中からAPT10を取り上げ、中国国家安全部（MSS）、天津市国家安全局、関連企業Huaying Haitai、関係人物、攻撃活動、そして日本を含む標的との関係を公開資料から追いました。
そしてMISSION-003では時代を現在へ進め、ルーター、認証、仮想化、通信基盤などTrusted Infrastructureを狙う攻撃が、日本とどこまで接続しているのかを検証しました。
さらに、この三つの調査を2020年の事件へ戻して考えるため、
「NSAは何を見たのか――『確認できない』領域とTrusted Infrastructureの盲点」
という特別調査も行いました。
そこで浮かび上がってきたのは、単に「中国のハッカー集団がいくつあるか」という話ではありませんでした。
- 国家機関
- 地方情報機関
- 関連企業
- 人物
- 攻撃インフラ
- マルウェア
- 複数のオペレーション
そして、それを観測する政府機関やセキュリティ企業によって付けられたさまざまな追跡名。
ネット探検ラボでは、この重なり合う構造を、「中国サイバー作戦エコシステム」として捉えています。
7．攻撃者の名前に惑わされない
中国政府系のサイバー活動を調べ始めると、さまざまな名前が出てきます。
- APT10：エーピーティー・テン
- menuPass：メニューパス
- Stone Panda：ストーン・パンダ
- BlackTech：ブラックテック
- Circuit Panda：サーキット・パンダ
- UNC3886：ユーエヌシー・スリー・エイト・エイト・シックス
- Fire Ant：ファイア・アント
一般の読者からすれば、「全部別の組織なの？」と思うのではないでしょうか。
実際には、それほど単純ではありません。
政府機関やセキュリティ企業は、自分たちが観測したマルウェア、攻撃サーバー、侵入手法、標的などを基準として攻撃活動を追跡し、それぞれ独自の名称を付けます。
そのため、別の名前が重複する活動を指している場合があります。
反対に、一つの追跡名の中に複数の時期、チーム、オペレーションが含まれている可能性もあります。
MISSION-002で調査したAPT10は、この問題を考えるうえで重要です。
公開されている米司法資料などを追うと…
中国国家安全部（MSS）
↓
天津市国家安全局
↓
Huaying Haitai
↓
Zhu Hua、Zhang Shilong、Gao Qiangなどの人物
↓
APT10関連活動
↓
Operation Cloud Hopper／MSP Theft Campaign
↓
日本を含む標的
…という関係を、かなり深いところまで公開情報から追うことができます。
しかし、それでも「APT10」と呼ばれる全活動を一つの固定した組織へまとめてしまうことはできません。
だから本記事では、APT名の分類そのものには固執しません。
見るべきものは名前ではなく、攻撃の構造です。
8．BlackTech――「信頼されたルーター」から日本本社へ
その構造を理解するうえで、非常に重要な実例があります。
“BlackTech（ブラックテック）”です。
2023年9月、日本の警察庁と当時の内閣サイバーセキュリティセンターは、NSA、FBI、CISAと共同で、中国を背景とするBlackTechについて注意喚起しました。
BlackTechの特徴の一つは、企業の本社へ正面から侵入するのではなく、海外子会社などのルーターを侵害することです。
そして、その子会社と本社との間にすでに存在する“「信頼された接続」”を利用して、本社ネットワークへ侵入範囲を広げます。
つまり本社側から見ると、攻撃通信は見知らぬ場所から来るとは限りません。
信頼している海外拠点から入ってくるのです。
さらにBlackTechは、ルーター内部の“ファームウェア（機器を動かす基本ソフトウェア）”を改変し、裏口を作り、通常のログ監視を回避し、管理者が確認する出力を操作する能力まで確認されています。
ここが重要です。
監視される側に隠れるだけではありません。
監視するために使っている機器そのものへ入り込むのです。
9．認証、仮想化、管理サーバー――さらに深い場所へ
そして近年の事例では、さらに深い場所への侵入が確認されています。
Mandiantが追跡する“UNC3886（ユーエヌシー・サンハチハチロク）”では、仮想化基盤やネットワーク装置に加え、TACACS+（タカックス・プラス）というネットワーク管理者の認証を扱う仕組みへの侵害も報告されています。
認証基盤そのものを侵害された場合、問題はパスワードを盗まれるだけではありません。
「誰がログインしたのか」
「誰が管理操作をしたのか」
という監査記録そのものの信頼性にも影響します。
また、セキュリティ企業Sygniaが“Fire Ant（ファイア・アント）”として追跡する活動では、仮想化基盤からCisco IOS XRルーター、TACACS認証、Linux管理サーバーへ活動範囲を広げる手法が報告されています。
- ログを止める
- 特定のログだけを出さない
- 管理者が確認する画面から情報を隠す
- 秘密の通信経路を作る
- 認証情報や通信を収集する
攻撃者が、組織が「証拠」として信頼している基盤そのものへ手を伸ばしているのです。
ただし、ここでは明確な線を引きます。
BlackTech、UNC3886、Fire Antが同一の攻撃者だという意味ではありません。
また、UNC3886やFire Antが2020年の日本防衛ネットワーク侵害を行ったという証拠もありません。
Fire AntとUNC3886には技術的な重複が確認されていますが、公開証拠から両者を同一アクターと断定することもできません。
10．では、2020年も同じ手口だったのか
ここで当然、疑問が浮かびます。
2020年に日本の防衛ネットワークへ侵入した中国軍系サイバースパイも、こうした方法を使っていたのでしょうか。
答えは、
分かりません。
2020年の侵入経路、使用されたマルウェア、侵害された機器、IOC（アイオーシー：Indicators of Compromise＝侵害の痕跡となる情報）など、技術的詳細は公開されていません。
後年確認されたBlackTech、UNC3886、Fire Antの手法を2020年の事件へ当てはめることはできません。
しかし、これらの事例には別の重要な意味があります。
「なぜ、侵害された側で発見できないことがあるのか」
を、実際の技術から理解できるようになったことです。
- ルーターを握られる。
- 認証基盤を握られる。
- ログを生成・転送する仕組みを握られる。
- 管理者が確認する表示を操作される。
そうなれば…
- 「ログが残っていない」
- 「不正な管理操作を確認できない」
- 「漏洩を確認できない」
…という結果だけでは、侵入がなかったことの十分な証明にならない場合があります。
だからこそ、ネット探検ラボの特別調査で中心に置いた問いは…
「2020年の犯人はFire Antだったのか」
…ではありません。
「NSAには何が見え、日本には何が見えなかったのか」
…です。
なお、NSAが2020年の侵害を具体的にどのような情報収集手段によって発見したのかは公開されていません。
NSAがSIGINT（シギント：Signals Intelligence＝通信・電波などから情報を収集・分析する活動）を担う機関だからといって、「SIGINTで発見した」と逆算して断定することもできません。
公開情報から分かるのは、被害を受けた日本側とは異なる何らかの観測面を米側が持っていた可能性を研究する価値があるというところまでです。
11．これは2020年だけの問題ではありません
MISSION-001で過去へ遡ると、中国または中国国家との関連が指摘されるサイバー作戦による日本への活動は、2020年に突然始まったものではないことが分かります。
- 日本政府
- 企業
- 研究機関
- 先端技術
- 通信
さまざまな分野が長期間にわたり標的となってきました。
APT10、Tick／BRONZE BUTLER、BlackTechなどについては、政府資料、司法資料、技術報告など異なる種類の公開情報から、日本を標的とした活動を確認できます。
そして日本側には、もう一つ長年の課題があります。
アトリビューション（Attribution＝攻撃者の特定・帰属）です。
過去の代表的な事案を振り返ると、攻撃を受けたことは判明しても、「誰が行ったのか」を日本政府が公に特定しないままの事件が少なくありません。
2011年の三菱重工業への侵害。
同じ2011年の衆議院・参議院への侵害。
2015年の日本年金機構への侵害。
2016年に報じられた防衛省・自衛隊ネットワークへの不正アクセス。
一方、APT10やTickのように中国側との関係を日本政府が公に指摘した事例もあります。
したがって「日本は攻撃者を一度も特定していない」と言うのは正確ではありません。
しかし、ネット探検ラボが公開資料を調査した範囲では、
日本が自ら観測し、自ら分析し、独自の証拠だけで中国政府系攻撃者への帰属を公表したと明確に確認できる事例は、極めて限定的です。
ここにも、2020年の問題と共通するものがあります。
日本自身の「見る力」です。
12．約6年後、日本は変わろうとしています
ここまで見てくると、2020年当時の日本政府の対応については厳しい評価をせざるを得ません。
しかし、そこから約6年間、日本が何もしてこなかったわけではありません。
2022年12月に策定された国家安全保障戦略では、日本のサイバー安全保障分野での対応能力を欧米主要国と同等以上に向上させる方針が示されました。
防衛分野でも、
「もはや安全なネットワークは存在しない」
という前提に立ち、ゼロトラストやサイバー脅威ハンティングを強化する方向へ考え方が変わっています。
そして2025年5月には、サイバー対処能力強化法と、サイバー対処能力強化法整備法が成立しました。
一般に「能動的サイバー防御」と呼ばれてきた新しいサイバー安全保障体制を実現するための法制度です。
また、2025年7月には、それまでの内閣サイバーセキュリティセンター（NISC）を発展させる形で、“国家サイバー統括室（NCO）”が発足しました。
そして2026年10月1日からは、重要インフラを対象とした官民連携の新たな仕組みや、分野横断的なサイバーセキュリティ統一基準など、重要な制度が本格的に動き始めます。
とは言え制度全体が10月1日に一斉施行されるわけではありません。
しかし、日本のサイバー防衛が大きな転換点に入っていることは間違いありません。
求められているのは、
- 見つける
- 理解する
- 対処する
- 制御する
- 守る
- そして、学ぶ
この一連の能力です。
13．法律ができたことと、「見えるようになった」ことは違う
ここが最後の重要なポイントです。
法律ができたことと、攻撃を発見できるようになったことは同じではありません。
- 必要なのは技術です。
- 人材です。
- 通信やログを分析する能力です。
- 官民の情報共有です。
- 海外拠点や取引先まで含めた監視です。
そしてパソコンだけではなく…
- ルーター
- VPN
- 認証基盤
- 仮想化
- クラウド
- ログ基盤
- ネットワーク管理システム
…そうした「信頼されている場所」まで含めて異常を発見する能力です。
さらに、「異常が見つからないから安全だ」という考え方そのものを捨てなければなりません。
監視するための仕組み自体が侵害される時代だからです。
14．見えていたのは、日本ではなかった
2020年。
中国人民解放軍系とみられるサイバースパイが、日本の機密防衛ネットワークへ深く侵入していたと報じられました。
それを発見したのは、NSAでした。
日本ではありませんでした。
さらに米側は、その後もアクセスが残っていると認識し、日本側へ対応を促しました。
そして外務省をめぐっても、米国から中国側の侵害を警告されたとする別の報道があります。
あれから約6年。
法律は変わりました。
組織も変わりました。
サイバー防衛を国家安全保障の中核に置く考え方も大きく変わりました。
しかし、本当の評価はこれからです。
次に中国政府系サイバースパイが日本へ侵入したとき。
それを最初に見つけるのは、誰なのでしょうか。
また、NSAでしょうか。
それとも今度は、日本でしょうか。
日本は、中国政府系サイバースパイ攻撃を、自力で発見できるようになったのか。
2020年に米国から突きつけられたこの問いに対する答えは、法律の条文の中にはありません。
その答えを出すのは、これからの日本の実装能力です。
15．「異常なし」を確認する防御から、脅威を探しに行く防御へ
2020年に日本に欠けていたものは何だったのか。
NSAがどのような情報源や技術を使って日本の防衛ネットワークへの侵入を発見したのか、その具体的な方法は公表されていません。
しかし、一つだけ確かなことがあります。
NSAには見え、日本には見えなかった。
ここから考えるべきなのは、「日本の監視が足りなかった」というだけの問題ではありません。
もっと根本的な問題です。
これまでの日本のサイバー防御は、自分たちが管理するネットワークを点検し、ログを調べ、警報を確認し、「異常があるか、ないか」を判断することに大きく依存してきました。
しかし、高度なサイバースパイを相手に、それだけで十分なのかという重大な問題を突きつけられているのです。
攻撃者は見つからないように侵入します。
長期間潜伏します。
正規の認証情報を盗みます。
さらに、ルーターや認証システム、管理サーバー、ログを記録する仕組みなど、防御側が安全を確認するために使っている機器やシステムそのものへ入り込むことさえあります。
そうなれば、「点検したが異常はなかった」という結論そのものが信用できなくなる可能性があると考えるのが当然ではないでしょうか。
必要なのは発想の転換です。
今までのように受け身の姿勢で安全確認して終わりではセキュリティは担保できないのです。
これからは能動的な姿勢で安全確認を日本自身の手で掴みに打って出る姿勢と手法が求められていると考えます。
そのための制度的な道具を日本に与えようとしているのが、能動的サイバー防御へ向けた今回の法整備なのだと考えます。
では、具体的に何をしたらよいでのでしょうか。
私は、日本のサイバー防御の「観測線」を、自分たちのネットワークの内側から、攻撃者側へ押し出していく必要があると考えます。
自分たちのネットワークへ侵入されてから、その痕跡を探すだけでは遅いのです。
- 日本を狙う攻撃インフラを探す。
- 不審な通信を追う。
- 複数の政府機関や重要インフラで観測された小さな兆候を結び付ける。
- 通信情報を分析し、攻撃に使われているサーバーや通信経路を特定する。
- 同盟国・同志国が持つ情報とも照合し、日本を狙っている攻撃活動の全体像を可能な限り早い段階で把握する。
そして、“Threat Hunting（スレット・ハンティング＝脅威ハンティング）”によって、「異常が出たから調べる」のではなく、「すでにどこかへ侵入されているかもしれない」という仮説から攻撃者を探しに打って出て行く。
政府自身も、検知を回避して侵入・潜伏した攻撃の痕跡を探索する脅威ハンティングを、能動的サイバー防御に必要な情報を得るための重要な手段と位置付けています。
しかし、私はそれだけで終わってはいけないと考えます。
攻撃者の存在を発見したなら、その攻撃がどこから来ているのかを追わなければなりません。
- どのサーバーが攻撃に使われているのか
- どのような攻撃基盤が構築されているのか
- 日本への侵入にどの脆弱性が利用されているのか
- どの認証情報が狙われているのか
- どの組織が次の標的になっている可能性があるのか
つまり、防御側から攻撃者側へ向かって情報をたどり、相手の活動領域そのものを観測対象にするのです。
ここまでできれば、敵の側に残された情報が、逆に日本を守るための情報になります。
- 攻撃者が日本から窃取した認証情報。
- 日本のネットワークについて収集した情報。
- 攻撃に使用するサーバーやツール。
- 侵入経路。
- 標的にしようとしている組織。
こうした情報を合法的に把握できれば、そこから逆に、
- 「日本のどこが狙われているのか」
- 「どこに穴があるのか」
- 「何がすでに奪われているのか」
…を知る手掛かりになります。
これは、自分たちのネットワークの中だけを点検していては得られない情報です。
16.最後に――「NINJA」という提案
最後に、ネット探検ラボから一つ提案をして、本稿を結びたいと思います。
ここから先は、確認された事実の説明ではありません。
2020年の教訓と、今回の一連の調査から私が考える、日本が将来持つべき能動的サイバー防御能力についての提案です。
仮に、そのシステムを、「NINJA（ニンジャ）」
そして、その活動を、「Operation NINJA（オペレーション・ニンジャ）」
と呼ぶことにしたいと思います。
ここまで読まれた方の中には、すでに何を想定しているのか気づかれた方もいるでしょう。
私が提案したいのは、守るべきネットワークの中で攻撃者を待つだけではなく、日本を継続的に狙う国家系脅威アクターのサイバー活動そのものを、こちら側から継続的に観測・追跡する能力です。
- 攻撃インフラを発見する。
- 使用されているサーバーや通信経路を追跡する。
- マルウェアや攻撃手法の変化を監視する。
- 日本や同盟国を標的とした攻撃準備の兆候を探す。
そして、法的根拠があり、必要性・相当性が認められる場合には、攻撃関係システムへのアクセスも含め、その内側から得られる情報によって攻撃活動の全体像を把握する。
私は、ここまで踏み込んだ対外サイバー情報収集能力についても、日本は本格的に議論する時期に来ていると考えます。
なぜなら、攻撃者の側にこそ、防御側が最も知りたい情報が存在する可能性があるからです。
- そこに日本政府機関の認証情報があったなら。
- 日本企業から窃取された情報があったなら。
- 日本のネットワーク構成を調査した資料があったなら。
- あるいは、まだ実行されていない日本への攻撃計画を示す情報があったなら。
それを把握することによって、初めてこちら側からは見えなかった自らの弱点や侵害の事実を知ることができる可能性があります。
そして、そこで得られた情報の中に米国をはじめとする同盟国・同志国への攻撃を示すものがあれば、直ちに共有する。
逆に、NSAをはじめとする同盟国の情報機関が日本への攻撃を発見したなら、日本へ共有してもらう。
一国だけですべてを見るのではありません。
それぞれが異なる場所から脅威を観測し、見つけたものを共有する。
2020年には、日本がNSAから教えられる側でした。
将来は、日本の「NINJA」が同盟国への侵入を発見し…
「こちらで見つけた。あなた方が狙われている」
…と知らせる側になってもよいはずです。
もちろん、これは無制限なハッキングを認めようという提案ではありません。
国家が外国のシステムへアクセスする以上、国内法、国際法、主権、必要性、相当性、民主的統制、監督の問題を避けて通ることはできません。
だからこそ、秘密裏に何でもできる仕組みではなく、何を目的として、誰の権限で、どのような条件の下で実施するのかを法によって厳格に定めた国家能力として議論する必要があると考えます。
「攻撃は最大の防御」という言葉があります。
サイバー空間でこれを実践するということは、無差別に攻撃することではありません。
相手が来るまで待たないことです。
こちらから打って出で…
- 相手を探す。
- 相手を追う。
- 相手の活動を知る。
- そこから自らの弱点を知る。
- 同盟国が狙われていれば知らせる。
- そして重大な攻撃が迫っているなら、法の許す範囲で止める。
- そんな能力を日本が持つ必要が高まっていると考えています。
いつの日か、「日本にはNINJAがいる」
その一言が、日本を狙う国家系脅威アクターにとって一つの抑止となり、同盟国にとって一つの安心となる。
そんな新しい日本のサイバー安全保障の到来を期待して、本稿の結びとしたいと思います。
本記事の調査について
本記事は、2020年の日本防衛ネットワーク侵害および外交公電システムをめぐる報道を出発点として、政府資料、司法資料、主要報道機関による取材、セキュリティ企業の技術報告などを突き合わせて検証しています。
またネット探検ラボでは、本記事に先立って「中国サイバー作戦エコシステム」として段階的な調査を行いました。
MISSION-001では、2020年以前から続く中国系APTによる対日活動を調査。
MISSION-002では、APT10を中心に、国家機関、地方情報機関、関連企業、人物、攻撃活動、日本との関係を調査。
MISSION-003では、2021年以降のTrusted Infrastructureを狙う攻撃と、日本への接続を調査。
さらに特別調査として、2020年の日本防衛ネットワーク侵害について、
「NSAには何が見え、日本には何が見えなかったのか」
という観点から再検証しました。
本調査では、中国国家との関連、個々の攻撃アクターの同一性、日本国内での実際の侵害、共通する攻撃手法、同一の指揮系統を、それぞれ別の命題として扱っています。
確認された事実。
政府・司法機関による評価。
民間セキュリティ企業による分析。
技術的に支持される推定。
そして、現時点では確認できないこと。
これらを混同せず、証拠がない部分を推測でつながないことを、本記事およびネット探検ラボの調査原則としています。
コメント