Volt Typhoonとは何者なのか

中国政府系APTが狙う「重要インフラ」という戦場

2023年、世界のサイバーセキュリティ業界に大きな衝撃が走りました。

米国の政府機関であるCISA（Cybersecurity and Infrastructure Security Agency）と複数の同盟国が共同で、中国政府の支援を受けているとされるサイバー攻撃グループ「Volt Typhoon」について警告を発表したのです。

その内容は従来のサイバー攻撃とは一線を画すものでした。

目的は企業への金銭要求でも、機密情報の大量窃取でもありません。

「将来必要になったときに、重要インフラを無力化できる状態を事前に構築していた可能性がある」

これが世界中の安全保障関係者を緊張させた理由です。

Volt Typhoonとは

Volt Typhoonは、中国政府との関連が指摘されている国家支援型APT（Advanced Persistent Threat）の一つとされています。

APTとは、国家レベルの支援や豊富な資金・人材を背景に、長期間にわたり標的へ潜伏し続ける攻撃グループを指します。

Volt Typhoonの最大の特徴は、できる限り痕跡を残さないことです。

Living Off The Landという考え方

Volt Typhoonを語る上で欠かせないのが、

Living Off The Land（LOTL）

という攻撃手法です。

これは、新たなマルウェアを大量に送り込むのではなく、

WindowsやLinuxに最初から搭載されている管理ツールや正規機能だけを利用して活動するという考え方です。

例えば、

PowerShell
Windows Management Instrumentation（WMI）
netコマンド
ssh
bash
正規管理ツール

などを利用します。

管理者が日常業務で使用する操作と見分けが付きにくいため、検知が非常に困難になります。

つまり、「侵入しているのに侵入しているように見えない」という状態を作り出すのです。

なぜ重要インフラなのか

各国の警告では、Volt Typhoonが関心を示していた対象として…

電力
通信
水道
港湾
交通
エネルギー
防衛関連

…などが挙げられています。

これらは社会インフラそのものです。

仮に有事が発生した場合、インフラを停止させれば、軍だけでなく社会全体へ大きな混乱を与えることができます。

このため各国政府は、「平時から侵入し、有事に備えている可能性」を強く警戒しています。

「Pre-positioning」という考え方

近年、各国政府が繰り返し使用している言葉があります。

Pre-positioning（事前配置）です。

これは、攻撃を今すぐ実施するためではなく、必要になった瞬間に攻撃できる位置まで、あらかじめ駒を配置しておくという考え方です。

サイバー空間では…

管理者権限の取得
永続化
横展開
ネットワーク構造の把握
バックアップ環境の理解

…などがこれに当たります。

つまり、攻撃準備そのものが作戦なのです。

発覚の経緯に注目する

ネット探検ラボでは、

「侵入された」という結果だけではなく、どのように発覚したのかを重要視しています。

Volt Typhoonについても…

複数の政府機関やセキュリティ企業によるログ分析、ネットワーク監視、インシデント対応など、多方面から得られた情報を統合することで、その活動実態が徐々に明らかになりました。

国家支援型APTは、長期間潜伏することを前提としているため、発覚までに長い時間がかかることも珍しくありません。

日本への示唆

日本は、

電力網
港湾施設
半導体
通信
防衛産業

など、多くの重要インフラと先端技術を有しています。

そのため、国家支援型APTにとっても重要な対象となり得ます。

重要なのは、「自社は狙われない」と考えることではありません。

むしろ、自社がサプライチェーンの一部である以上、標的となる可能性は十分に存在する

という認識が必要です。

ネット探検ラボの視点

Volt Typhoonは、ランサムウェア集団とは異なります。

金銭要求を前提とした犯罪ではなく、

国家戦略の一部として活動している可能性が指摘されています。

そのため、

単純なマルウェア対策だけでは十分ではありません。

平時から、

ネットワーク構成の可視化
権限管理
ログ監視
インシデント対応体制
発覚プロセスの整備

などを継続的に見直すことが、防御力向上につながります。

まとめ

Volt Typhoonは、単なる一つのサイバー攻撃グループではありません。

現代の国家間競争において、

サイバー空間が陸・海・空・宇宙と並ぶ重要な戦場になったことを象徴する存在と言えるでしょう。

そして、その活動は、

「攻撃が始まってから対応する時代」

ではなく、

攻撃が始まる前の兆候をいかに察知するか

という、新たな防御の考え方を私たちへ突き付けています。

次回予告

次回は、政府系APTが実際の戦争でどのように運用されたのかを取り上げます。

ロシア軍と関係があるとされるAPT「Sandworm」によるウクライナ電力網への攻撃を時系列で振り返りながら、サイバー攻撃が現実の戦争で果たした役割を検証します。