サイバー攻撃は、企業から情報を盗み、身代金を要求する犯罪だけではありません。
国家間の対立が深まったとき、サイバー空間は、情報収集、社会の混乱、重要インフラの妨害、軍事作戦の支援に利用されることがあります。
その現実を世界に突き付けた代表的な存在が、ロシア軍参謀本部情報総局、通称GRUとの関係が公式に認定されている攻撃グループ、”Sandworm（サンドワーム）”です。
Sandwormは、電力、通信、政府機関などへの侵入を繰り返し、ウクライナでは実際に停電を発生させました。
この記事では、Sandwormが何者なのか、ロシア軍情報機関との関係が認定されている政府系APT「Sandworm」を語りたいと思います。
ウクライナの電力網攻撃、NotPetya、Industroyer2の事例から、平時の侵入が有事の重要インフラ攻撃へ転換される危険と、日本が学ぶべき防御上の教訓を考えます。
1．Sandwormとは何者なのか
Sandwormは、ロシア政府系のAPTとして知られるサイバー攻撃グループです。
米国政府や英国政府は、Sandwormをロシア軍参謀本部情報総局の部隊と関連付けています。英国政府は、SandwormをGRUの「Main Centre for Special Technologies」に属する攻撃主体として位置付けています。米英当局が使用する名称には、Sandwormのほか、Voodoo Bearなどがあります。
APTとは、Advanced Persistent Threatの略です。
日本語では一般に「高度で持続的な脅威」と訳されます。
単発的に攻撃して終わるのではなく、標的の組織へ侵入し、長期間潜伏しながら内部構造を調査します。そのうえで、情報窃取、破壊、妨害など、国家の戦略目的に沿った活動を行います。
Sandwormの特徴は、情報を盗むだけではありません。
必要に応じて、システムそのものを停止させ、データを破壊し、現実社会へ影響を及ぼす攻撃を実行してきた点にあります。
2．なぜ「Sandworm」と呼ばれているのか
Sandwormという名称は、攻撃者自身が公に名乗っている組織名とは限りません。
サイバーセキュリティ企業や政府機関は、観測した攻撃手法、マルウェア、通信インフラ、標的、活動時期などの共通点を分析し、同一の攻撃主体と考えられる活動群に識別名を付けます。
そのため、一つの攻撃主体に複数の名称が付けられることがあります。
Sandwormについても、機関や企業によって次のような名称が使われています。
名称が違っても、すべてが完全に同じ範囲を指しているとは限りません。
各組織が独自の観測情報を基に分類しているため、活動範囲や構成員の捉え方に差が生じることがあります。
3．世界を震撼させた2015年のウクライナ停電
Sandwormを語るうえで欠かせないのが、2015年12月23日に発生したウクライナの電力網への攻撃です。
複数の電力会社がサイバー攻撃を受け、広い地域で停電が発生しました。米国のCISAは、この攻撃によって多数の利用者が影響を受けたと報告しています。英国NCSCは、影響を受けた人数を約25万人と説明しています。
攻撃者は、突然、発電所や変電所へ直接侵入したわけではありません。
まず企業ネットワークへ入り込み、時間をかけて認証情報やシステム構成を把握しました。
そのうえで、電力設備を監視・制御する環境へ到達し、制御センターのシステムを操作して、送電設備を停止させたとされています。
大まかな攻撃の流れは、次のように整理できます。
- 電力会社の業務ネットワークへ侵入
- 認証情報を窃取
- ネットワーク内部を偵察
- 制御システムに関する情報を収集
- 遠隔操作環境を確保
- 変電設備を停止
- 復旧作業を妨害
この事件が重大だったのは、パソコン上のデータが消えただけではないからです。
サイバー空間における侵入が、現実世界の停電として表面化しました。
米国司法省は、2015年と2016年に行われたウクライナの電力網に対する攻撃を、民間重要インフラの制御システムを狙った初期の破壊的サイバー攻撃として説明しています。
4．2016年――攻撃はさらに自動化された
2016年12月、ウクライナの首都キーウ周辺で再び停電が発生しました。
この攻撃では、Industroyer（インダストロイヤー）、またはCrashOverrideと呼ばれるマルウェアが使用されたと分析されています。
2015年の攻撃では、人間の攻撃者が遠隔操作によって設備を停止させた部分が大きいと考えられています。
これに対しIndustroyerは、電力設備で使用される通信プロトコルを理解し、制御装置へ直接命令を送る機能を備えていました。
これは大きな変化です。
攻撃者が画面を見ながら一つずつ操作するのではなく、マルウェア自体が電力制御システムへ命令を送れるようになったからです。
つまり、攻撃は次の段階へ進みました。
人が設備を遠隔操作する攻撃から、マルウェアが設備を直接制御する攻撃へ。
Industroyerは、OT、すなわち工場、電力、交通などの現実設備を動かす運用技術環境を狙うマルウェアの代表例となりました。
5．NotPetya――世界へ拡散した破壊攻撃
2017年6月、ウクライナを中心にNotPetyaと呼ばれるマルウェアが広がりました。
外見上は、ファイルを暗号化して身代金を要求するランサムウェアのように見えるものでした。
しかし、その実態は、被害組織が身代金を支払っても容易に復旧できない、破壊を主目的としたワイパー型マルウェアだったと評価されています。
NotPetyaはウクライナ国内にとどまりませんでした。
国際的な企業ネットワークを通じて世界中へ拡散し、物流、製造、医薬品、海運など、多数の企業に深刻な障害を引き起こしました。
英国NCSCは、NotPetya攻撃の背後にSandwormが属するとされるロシアGRUの部門があったと説明しています。
この事件が示した教訓は明確です。
国家の特定地域を狙ったサイバー攻撃であっても、相互接続された企業ネットワークを通じて、世界規模の被害へ拡大する可能性がある。
標的ではなかった企業まで巻き込まれる。
これが、現代のサプライチェーンとネットワーク社会が抱える危険性です。
6．2022年――全面侵攻直前から続いていたサイバー作戦
ロシアによるウクライナへの全面侵攻は、2022年2月24日に始まりました。
しかし、サイバー空間での攻撃は、それ以前から進められていました。
ウクライナ政府機関への侵入、ウェブサイトの改ざん、情報窃取、データ消去型マルウェアの展開など、複数の攻撃が確認されています。
米国司法省は、ロシア軍情報機関の関係者が、全面侵攻に先立ってウクライナ政府のシステムへ侵入し、情報を盗み、流出させ、コンピューターを破壊する活動に関与したとする訴追内容を公表しています。
ただし、ロシア政府系の攻撃主体はSandwormだけではありません。
GRU内部にも複数の部隊が存在し、それぞれ異なる作戦を実行していると評価されています。
したがって、侵攻前後に観測されたすべてのサイバー攻撃をSandworm単独の活動として扱うのは適切ではありません。
重要なのは、軍事侵攻と並行して、複数の国家系サイバー部隊が、
- 情報収集
- 心理的な動揺
- 通信妨害
- データ破壊
- 重要インフラへの攻撃
を担っていたとみられることです。
サイバー攻撃は、戦車やミサイルの代わりではありません。
むしろ、通常の軍事作戦、情報戦、認知戦と組み合わされる手段として使用されています。
7．Industroyer2による電力網攻撃
2022年4月、ウクライナのCERT-UAは、Sandwormによるエネルギー施設への新たな攻撃を公表しました。
この攻撃では、Industroyerの後継とされるIndustroyer2と、データ破壊用マルウェアCaddyWiperなどが使用されました。
攻撃者は、高電圧変電所など、複数のインフラ設備を停止させようとしていたと報告されています。
ここで注目すべき点は、攻撃者が電力会社のネットワークへ侵入しただけではないことです。
設備を停止させるためには、少なくとも次の情報を把握する必要があります。
- どの装置が何を制御しているか
- どの通信方式が使用されているか
- どの命令を送れば設備が動くか
- どの時間帯に攻撃すれば影響が大きいか
- 復旧作業をどのように妨害できるか
これは、偶然侵入できた攻撃者が、その場で実行できるものではありません。
事前の偵察、設備構成の把握、通信内容の解析、攻撃コードの準備が必要です。
Sandwormの脅威は、単に高度なマルウェアを保有していることではありません。
標的組織とその設備を時間をかけて理解し、現実の破壊へつなげる能力にあります。
8．家庭用ルーターも攻撃基盤になる
Sandwormは、電力会社や政府機関だけを直接攻撃しているわけではありません。
2022年、英国NCSC、米国CISA、NSA、FBIは、SandwormがCyclops Blinkと呼ばれるマルウェアを使用していると公表しました。
Cyclops Blinkは、主としてネットワーク機器やSOHO向け機器を侵害し、攻撃者が遠隔から利用できる基盤を構築するためのマルウェアです。
これは、Volt Typhoonとの共通点としても重要です。
国家系APTは、自国から標的へ直接接続するとは限りません。
第三国のルーター、VPN機器、ファイアウォール、家庭用ネットワーク機器などを侵害し、それらを中継地点として利用します。
これにより、攻撃元の特定が難しくなります。
また、防御側から見れば、海外の軍事機関からの不審な通信ではなく、一般家庭や通常のインターネット回線からの通信に見えることがあります。
重要インフラ防御は、自社のサーバーだけを守ればよい問題ではありません。
インターネット全体に存在する、管理されていない機器や更新されていない機器も、国家系攻撃者のインフラとして悪用されます。
9．Volt TyphoonとSandwormの共通点
前回の記事では、中国政府系APTとして米国政府が警戒するVolt Typhoonを取り上げました。
Volt TyphoonとSandwormは、同一の組織ではありません。
目的、攻撃手法、所属すると評価される国家機関も異なります。
しかし、重要インフラ防御の観点では、共通して注目すべき点があります。
共通点1 長期間の潜伏
重要インフラを停止させるには、侵入しただけでは不十分です。
ネットワーク構成、管理権限、業務システム、制御設備などを時間をかけて把握する必要があります。
共通点2 正規の機能や既存設備の利用
攻撃者は常に目立つマルウェアを使うわけではありません。
正規の管理ツール、遠隔接続機能、ネットワーク機器などを利用し、防御側の監視をすり抜けます。
共通点3 重要インフラへの関心
電力、通信、水道、交通などは、社会の機能を支える基盤です。
これらへ侵入しておけば、有事の際に社会的・軍事的な影響を与えられる可能性があります。
共通点4 平時と有事の境界が曖昧
サイバー空間では、侵入した瞬間に大規模な破壊が起きるとは限りません。
何年間も潜伏し、情報を収集し、必要な時期まで攻撃機能を温存する可能性があります。
そのため、防御側が異常に気付かないまま、有事に備えた攻撃基盤が作られる危険があります。
10．「侵入」と「攻撃実行」は別の段階である
Sandwormの活動から学ぶべき重要な点の一つが、侵入と攻撃実行を分けて考える必要性です。
サイバー攻撃が発覚したとき、私たちは障害が発生した日時に注目しがちです。
しかし、攻撃者が侵入したのは、その数週間、数か月、場合によっては数年前である可能性があります。
攻撃の流れを整理すると、次のようになります。
- 初期侵入
- 認証情報の窃取
- 権限の拡大
- 横展開
- ネットワーク構造の調査
- 制御システムの把握
- 攻撃手段の配置
- 待機・潜伏
- 攻撃実行
- 痕跡消去や復旧妨害
社会から見えるのは、多くの場合、9番目の「攻撃実行」以降です。
しかし、防御側が本当に検知すべきなのは、その前段階です。
発覚した時点で攻撃が始まったのではない。
発覚した時点で、既に長い攻撃工程の終盤に達していた可能性がある。
これは、ランサムウェア攻撃にも国家系APTにも共通する考え方です。
11．現在の日中関係をどう考えるか
現在の日本と中国の関係を、ロシアによる全面侵攻前のロシア・ウクライナ関係と、そのまま同一視することはできません。
歴史、地理、軍事同盟、経済関係、核抑止、台湾海峡など、前提条件が大きく異なるからです。
一方で、ウクライナの事例から学ぶべき点はあります。
それは、国家間の対立が軍事衝突へ発展するより前から、サイバー空間における情報収集、侵入、攻撃基盤の構築が進められる可能性です。
外交関係が悪化してから防御を始めても、既に重要インフラ内部へ侵入されていれば遅いのです。
中国政府系APTと評価されるVolt Typhoonが重要インフラへ潜伏していると米国政府が警告している背景にも、こうした問題があります。
サイバー防御は、有事になってから始めるものではありません。
平時のうちに、
- 侵入されていないか
- 不要な管理者権限が残っていないか
- ネットワークが適切に分離されているか
- 古い機器が放置されていないか
- ログが保存されているか
- 復旧手順が実際に機能するか
を確認しなければなりません。
平時の侵入を見逃せば、有事に使用される攻撃経路を相手へ与えることになります。
12．日本の重要インフラが学ぶべき教訓
Sandwormの事例は、日本にとって遠い外国の話ではありません。
日本にも、電力、通信、交通、水道、金融、医療、港湾、物流など、多数の重要インフラがあります。
その多くは、ITとOTが接続され、外部事業者による遠隔保守やクラウドサービスも使用されています。
利便性が高まる一方で、侵入経路も増えています。
IT環境とOT環境を分離する
業務用パソコンが侵害されたからといって、制御設備まで到達できる構成にしてはなりません。
ネットワークを分離し、境界を越える通信を限定し、継続的に監視する必要があります。
管理者権限を最小化する
一つの認証情報を奪われただけで、組織全体を移動できる状態は危険です。
管理者権限を用途別に分け、通常業務で使用しないことが重要です。
多要素認証だけに依存しない
多要素認証は重要ですが、万能ではありません。
既存セッションの窃取、端末の乗っ取り、正規ツールの悪用などによって回避される場合があります。
端末、ネットワーク、認証、ログを組み合わせて監視する必要があります。
ログを集中管理する
攻撃者は、侵入後にログを削除することがあります。
重要なログを別の環境へ転送し、攻撃者が容易に消せない形で保存する必要があります。
手動運用への切り替えを訓練する
システムが停止したとき、手作業で最低限のサービスを継続できるでしょうか。
バックアップが存在するだけでなく、実際に復元できるか、復旧に何時間かかるかを確認する必要があります。
「異常がない」ことを安全と考えない
国家系APTは、侵入後すぐに目立つ行動を起こさないことがあります。
障害が起きていないから安全なのではありません。
静かな潜伏こそ、最も警戒すべき段階です。
13．発覚の経緯から考えるSandworm
ネット探検ラボでは、サイバー攻撃そのものだけでなく、どのように発覚したのかを重視しています。
Sandwormの電力網攻撃では、停電という現実の障害が発生したことで、攻撃が社会に認識されました。
しかし、停電は発覚の原因であって、侵入の始まりではありません。
攻撃者は、それ以前から内部へ侵入し、認証情報を集め、設備を調査していました。
つまり、防御側から見れば、
システム障害によって攻撃が始まったのではなく、
システム障害によって、それまで見えていなかった攻撃が顕在化した。
ということになります。
この違いは重要です。
停電、通信障害、システム停止、データ消失などが起きて初めて攻撃に気付くのであれば、攻撃者は既に目的を達成する段階まで進んでいます。
本来の防御は、その前に行われなければなりません。
- 普段と異なるログイン
- 管理ツールの不自然な使用
- 認証情報へのアクセス
- ネットワーク探索
- 通常は発生しないシステム間通信
- 制御環境への接続試行
こうした小さな兆候を結び付け、攻撃の準備段階で発見する必要があります。
14．ネット探検ラボの視点
Sandwormを知る目的は、ロシアのサイバー部隊を恐れることではありません。
また、現在の国際情勢を単純に過去の戦争へ重ね合わせ、不安をあおることでもありません。
重要なのは、ウクライナで実際に起きた出来事から、国家系サイバー攻撃の工程を学ぶことです。
Sandwormの活動は、次の事実を示しています。
サイバー戦は、開戦の日に始まるわけではない。
情報収集、初期侵入、認証情報の窃取、ネットワークの把握、攻撃基盤の設置。
これらは、国民から見えない平時の段階から進められる可能性があります。
そして、攻撃者が実行命令を出したとき、それまで静かだった侵入活動が、停電、通信障害、物流停止などの現実的な被害へ変化します。
だからこそ、サイバー防御は平時の仕事です。
有事になってから強化するのではなく、何も起きていないように見える時期に、侵入を見つけ、攻撃経路を閉じ、復旧能力を整えなければなりません。
まとめ
Sandwormは、ロシア軍情報機関との関係が米英政府などによって認定されている国家系APTです。
ウクライナでは、電力網への侵入、停電、破壊型マルウェア、重要インフラへの妨害など、現実社会へ影響を及ぼす攻撃を実行してきたと評価されています。
この事例から学ぶべき最大の教訓は、次の一点です。
重要インフラへのサイバー攻撃は、障害が起きた瞬間に始まるのではない。
攻撃者は、そのはるか前から侵入し、調査し、準備している可能性がある。
前回紹介したVolt Typhoonは、重要インフラへの長期潜伏という脅威を示しています。
Sandwormは、そのような侵入活動が、国家間の対立や戦争の中で、どのように現実の妨害や破壊へ転換され得るのかを示した存在です。
日本に必要なのは、危機が起きてから慌てて守ることではありません。
まだ何も起きていないように見える今の段階から、既に侵入されている可能性を前提として、防御体制を見直すことです。
関連記事
- 政府系APTとは何者なのか
- Volt Typhoonとは何者なのか――中国政府系APTが狙う「重要インフラ」という戦場
- 初期アクセスブローカー（IAB）とは何者なのか
- ランサムウェア攻撃における「発覚の経緯」
コメント