7ドメインを差し押さえ、台湾の大学約20校が被害確認
FBIと米司法省は2026年10月8日、中国のサイバーセキュリティー企業で政府との契約を持つIntegrity Technology Groupが運用していたハッキングツールを支えるインターネットドメイン7件を差し押さえたと発表した。ツールの1つ「Microscan」は、台湾のエネルギー企業、日本とポーランドの空港、サウスカロライナ州の電力会社のネットワークに弱点がないか調べていた。もう1つの「FishHub」は、台湾の大学約20校で確認された侵入に関連していた。
目次
今回の措置は、「Flax Typhoon」として知られるハッキング活動の背後にあるインフラを標的とした。司法省の10月8日の発表によると、ペンシルベニア州西部地区で開示された裁判資料は、Integrity Technology Groupがツールを開発・運用し、顧客がそれを使って脆弱なネットワークを特定し、不正アクセスしてファイルを盗んでいたと主張している。
FBIは、今回の措置によりツールを使用不能にしたと述べた。ただし、侵害されたネットワークすべてが安全になったという意味ではない。ドメインの差し押さえは攻撃者のインフラを遮断するが、被害組織のシステム内部にすでに入り込んだマルウェア、窃取された認証情報、リモートアクセスソフトを自動的に削除するわけではない。
証拠は、スキャンされたネットワークと、実際に侵入されたネットワークも区別している。当局は、台湾の天然ガス・電力会社、サウスカロライナ州の電力会社、日本とポーランドの空港、多国籍の非政府組織をMicroscanの標的として特定した。ただし、これらの組織がそれぞれ実際に侵害されたかどうかは公表していない。
大学については、より具体的な証拠が示されている。FBIの宣誓供述書によると、2022年8月と2023年3月に台湾の大学2校でMicroscanによるスキャンが行われ、その後に侵入が成功した。これとは別に、司法省はFishHubの活動で台湾の大学約20校が被害を受けたことを確認したと明らかにした。大学名は公表されておらず、2つのグループにどの程度重複があるかも明らかにされていないため、単純に合算することはできない。
裁判所の措置で実際に停止したもの
連邦治安判事は発表の2日前、10月6日にドメインの差し押さえを許可した。令状はドメイン登録事業者に対し、対象ドメインをロックし、FBIが管理するサーバーに転送したうえで、差し押さえを知らせる表示を出すよう指示した。これにより、スキャンやマルウェアの配布、侵害済みネットワークへの継続的なアクセスに使われていたアドレスを運営者が利用できなくなった。
ペンシルベニア州西部地区の差し押さえ発表には、対象となった7ドメインが記載されている。c0cc[.]ccはMicroscanへのアクセスを提供していた。98aicai[.]com、98aicode[.]com、outlook3650[.]com、youtubecard[.]com、linkedinns[.]netの5件は、FishHubマルウェアの配布に使われていた。残る98aiblog[.]comは、リモートアクセスの維持に使われたSoftEtherソフトウェアに関連していた。
差し押さえを裏付ける宣誓供述書は、コンピューターへの不正アクセスを規制する米国法「コンピューター詐欺・濫用法」への違反を主張している。また、ドメインの購入や更新には米国外を出所とする資金が使われたとしている。差し押さえと同時に逮捕や刑事訴追の発表はなかった。裁判資料に記載された主張は、有罪認定ではない。
Microscan、感染端末を偵察ネットワークに利用
Microscanは、広く使われているプログラミング言語Pythonで書かれたウェブアプリケーションで、セキュリティー上の弱点を検査するスクリプトを1,300種類以上含んでいた。こうしたスクリプトは、許可を得たセキュリティー評価で正当に使われることもある。今回、捜査当局は、Integrity Techの顧客が悪用できる弱点を探すため、他組織のシステムを調べるのに使われたと主張している。
このソフトウェアは、OpenSSL、Oracle WebLogic Server、WordPress、Jenkins、Apache Strutsなどの製品を使うウェブサイトやサービスを検索していた。捜査当局によると、Microscanは2026年9月9日の時点でもc0cc[.]ccを通じてアクセス可能で、早ければ2017年から使われていた可能性がある。
一部のスキャンは、Miraiマルウェアの亜種に感染した消費者向け機器を経由していた。これらの機器がまとまり、運営者に制御された侵害端末の集合体であるボットネットを形成していた。他人の機器を経由して通信することで、スキャンの発信元を隠しやすくするとともに、各地に分散したインフラを確保していた。
関連するサイバーセキュリティー勧告は、頻繁に標的とされた脆弱性を8件挙げている。識別番号が示す発見時期は2014年から2023年に及び、GNU Bash、Apache Struts、Pulse Secure VPN、GitLabの脆弱性が含まれる。許可なくファイルを読み取ったり、脆弱なシステム上でコマンドを実行したりできるものもある。この幅広さは、攻撃活動が新たに発見された欠陥だけを狙ったのではなく、古くても修正されていないソフトウェアも攻撃機会になっていたことを示している。
最初の侵入後のアクセス維持や窃取を支えたFishHub
FishHubの役割はMicroscanとは異なる。当局によると、特定の相手を狙う偽装メッセージ「スピアフィッシング」を支援し、ネットワークへの最初の侵入後に追加のマルウェアをダウンロードしていた。そのマルウェアはIntegrity Techの顧客にリモートアクセスを与えたり、指定したファイルを検索して同社が管理するサーバーへ送信したりできた。
ファイル窃取の手順には、文書の一覧作成、指定された情報の検索、ファイルの圧縮、被害者のネットワーク外への送信が含まれていたとされる。つまりFishHubは単なる配布手段ではなく、攻撃者が侵入した後に情報を収集・持ち出すことも支えていた。
FBIの宣誓供述書は、FishHubに関連するサーバー上で、台湾の大学6校を含む20を超える組織のデータやファイルが見つかったと記している。これは、司法省が示した台湾の大学約20校という被害確認数よりも限定された情報だ。6校という数は1台のサーバー上で見つかった証拠に基づく一方、約20校という数はFishHubの活動による被害が確認された大学を指す。どちらの数も、世界全体の被害組織数を示すものではない。
大学のネットワークには研究情報、事務記録、通信文書などが含まれる可能性があるが、台湾の大学からどの種類の情報が盗まれたかは当局から公表されていない。公表情報では、盗まれたデータの量や、情報が流出した可能性のある個人も明らかにされていない。
正規ソフトを利用してネットワーク内にとどまる
FBI、サイバーセキュリティー・インフラ安全保障庁（CISA）、国家安全保障局、国際パートナーによる共同勧告は、攻撃者が認証情報を入手してアクセスを維持した複数の手口を説明している。脆弱なウェブサイトを悪用して利用者の情報を取得するクロスサイトスクリプティングや、Microsoft Exchangeシステムに対するパスワードスプレー攻撃が含まれる。パスワードスプレー攻撃は、1つのアカウントのパスワードを何度も推測するのではなく、よく使われる少数のパスワードを多数のアカウントに試す手法だ。
捜査当局は、侵害されたシステムにSoftEther VPNソフトウェアをインストールしてアクセスを維持していたことも指摘した。一部では、正規のWindowsファイルを装っていた。VPNは通常のリモートワークにも使えるネットワーク接続を作る。許可なくインストールされた場合、攻撃者が組織のシステムに継続的に侵入する経路となるおそれがある。
ほかにも、Active Directoryの認証情報を収集し、ExchangeやMicrosoft 365のアカウントからメールを抽出するツールが使われていた。Active Directoryは多くの組織でユーザーの識別情報やアクセス権を管理しているため、認証情報が盗まれると、最初に侵害されたコンピューター以外にもアクセスが広がる可能性がある。捜査当局は、第三者が被害アカウントに直接アクセスせずに盗まれたメールを閲覧できる、独自開発のウェブアプリケーションも発見した。
国立台湾大学のコンピューターサイエンス教授、陳允農氏は、既存ソフトウェアを利用した悪意ある活動が発見されにくい理由を次のように説明した。
悪意あるプログラムは既存の管理ソフトに隠れ、正規ソフトを悪意ある行為に利用します。例えば、データをダウンロードして外部に持ち出すことができます。新たなプログラムが動いているのではなく、すでに存在するプログラムだけが動いているように見えるため、発見が難しくなります
この違いは、被害からの復旧にも関わる。見慣れないプログラムだけを探していては、管理者が通常信頼しているソフトウェアの不正利用を見落とす可能性がある。
個人ハッカーだけでなく、活動を支えた企業
米当局は、Integrity Technology Groupを中国政府と関係するサイバー作戦を支える企業と説明している。同社は北京に拠点を置き、中国政府と契約を結んでいる。FBIは、民間部門で「Flax Typhoon」と呼ばれる活動を支えた組織とみている。
FBIサイバー部門のブレット・レザーマン次長補は、司法省の発表で同社の役割について次のように述べた。
中華人民共和国（PRC）は、請負業者や活動を支える企業に依存し、悪意あるサイバー活動の到達範囲と規模を拡大しています。こうした支援組織を特定し、活動を妨害することで、PRCが米国のネットワークやインフラを標的にすることを難しくします
勧告は、「Flax Typhoon」「Ethereal Panda」「Red Juliett」として追跡されている活動と重なる動きを記載している。一方で、重複する活動すべてがIntegrity Techによるものとは限らないと注意を促している。したがって、これらの作戦名は、関連する侵入がすべて同じ企業によるものだという証拠とはみなせない。
FBIサイバー部門のジェイソン・ビルノスキ副次長補は、法執行の方針を次のように述べた。
脅威アクターから能力を奪うことを目指しています。インフラ、資金、ツールを標的にします
ビルノスキ氏は、今回のハッキング活動を「無差別で無謀」と評した。各機関の広範な勧告には、政府、製造業、医療、情報技術、法執行機関、教育、宗教団体を標的とする活動が記され、東南アジア、アフリカ、北米に及んでいた。
今回の差し押さえに至るまでの経緯
10月の作戦は、司法省が公表したIntegrity Techのハッキングインフラに対する2回目の技術的な活動妨害措置となる。1回目は2024年9月で、カメラ、ビデオレコーダー、家庭・オフィス用ルーターなど、世界各地の消費者向け機器20万台超で構成されたMiraiボットネットを標的とした。
捜査記録からは、2024年6月5日時点の状況がより詳しく分かる。データベースには感染端末の記録が120万件以上含まれ、そのうち米国の被害端末は固有の機器で38万5,000台を超えていた。同日時点で実際に感染中だった端末は26万台以上で、米国内は約12万6,000台だった。データベース上の記録数と感染中の端末数は異なる指標であり、120万という数字は、運営者が同時に制御していた端末数を意味しない。
主な日付を並べると、作戦と法執行の対応が数年にわたって続いてきたことが分かる。
- 2022年8月、2023年3月：FBIの宣誓供述書によると、Microscanのスキャン後、台湾の大学2校で侵入が成功。
- 2024年9月：米当局が、消費者向け機器20万台超で構成されたIntegrity TechのMiraiボットネットを妨害。
- 2025年1月：米財務省が、米国のインフラを標的としたサイバー侵入への関与を理由にIntegrity Technology Groupに制裁を科す。
- 2025年、2026年：英国と欧州連合も、それぞれサイバー攻撃活動を理由に同社に制裁。
- 2026年9月9日：捜査当局が、Microscanがc0cc[.]ccを通じて引き続きアクセス可能であることを確認。
- 2026年10月6日：連邦治安判事がドメインの差し押さえを許可。
- 2026年10月8日：司法省とFBIが作戦と共同サイバーセキュリティー勧告を発表。
今回の措置は、大規模な消費者向け機器のボットネットを新たに排除したと発表するものではなく、スキャン、マルウェア配布、リモートアクセスを支えるインフラを標的とした。それぞれの措置は、疑われる活動の異なる部分に対処した。
重要インフラへの警告は、障害の発生を示すものではない
電力会社、天然ガス事業者、空港が標的に含まれていることから、この活動は情報窃取にとどまらない懸念を生んでいる。CISAのクリス・ブテラ・サイバーセキュリティー担当執行次長代行は、重要システムへのアクセスが持つ潜在的な目的について警告した。
中国政府と関係するアクターは、将来、都合のよい時に重要な機能を妨害することを目的に、運用技術（OT）システムを含む重要インフラのネットワーク内に足場を築き続けています
運用技術とは、産業機器などの物理的なプロセスを監視・制御するシステムを指す。こうしたシステムへのアクセスは、一般的な業務用メールへのアクセスとは異なるリスクを伴う。
ブテラ氏の警告は脅威について述べたものであり、今回の活動によって停電や空港の運航障害、台湾のガス供給の中断が起きたと認定したものではない。当局は、名前が挙がったすべてのインフラ標的で侵入に成功したかどうかを公表しておらず、各組織の運用システムが侵害されたと今回の発表が示しているわけでもない。
公表された証拠が最も強く示すのは、スキャン、不正アクセス、情報窃取だ。これらの確認事項と将来の妨害の可能性を区別することで、捜査当局が立証した内容を誇張せずに伝えられる。
差し押さえ後に防御側が確認すべきこと
共同勧告には、ドメイン、IPアドレス、マルウェアのハッシュ値、ツールの説明が含まれ、組織が侵入の可能性を調査する際に役立つ情報を提供している。米国、英国、オーストラリア、カナダ、日本、ニュージーランド、スペインの機関が勧告の作成に参加した。
推奨策には、インターネットに公開されたシステムへの修正プログラム適用、ウェブメールとVPNへの多要素認証の必須化、未使用サービスの無効化、スキャンや脆弱性の悪用を試みた形跡を探すウェブアプリケーションのログ確認が含まれる。管理者には、不正なリモートアクセスソフトウェアや、Active Directoryの予期しないレプリケーションも監視するよう求めている。こうした動きは、認証データを複製しようとする試みの兆候となる場合がある。
一部の指標は2016年にさかのぼる。現在も侵害が続いている証拠と自動的にみなさず、状況に照らして調べる必要がある。過去の関連情報は侵入の経緯を再構成するのに役立つが、古い指標だけでは、現在も攻撃者がシステムを制御しているとはいえない。
銘伝大学の刑事司法学部准教授、王柏智氏は、制裁や技術的な妨害だけでは運営者の再起を阻止できない可能性があると警告した。
この企業が制裁を受けても、同じ活動を始めるために別の組織を立ち上げる可能性があります。企業の拠点がある場所は分かっていても、攻撃を開始するサーバーは別の場所に置かれているかもしれず、恐れるものはほとんどないと感じる可能性があります
FBIサンディエゴ支局の監督特別捜査官、ブレット・ラリー氏は、同社がインフラを再構築するかどうかを監視すると述べた。サンディエゴ支局とボルティモア支局がFBIサイバー部門とともに捜査を進め、日本の警察庁も支援した。ブレンダン・マッケナ、ジャック・シンガーエメリー両検察官が事件を担当している。次回の審理日や期限は発表されていない。
要点
- FBIは、Integrity Technology Groupに関連するMicroscan、FishHub、不正なリモートアクセスを支えるドメイン7件を差し押さえた。
- FishHubの活動による被害を受けた台湾の大学約20校が確認された。
- Microscanは、台湾のエネルギー企業、サウスカロライナ州の電力会社、日本とポーランドの空港、大学、多国籍の非政府組織を標的とした。
- 名前が挙がったすべてのインフラ標的への侵入に成功したかどうかは、当局から公表されていない。
- 今回の差し押さえは、2024年9月のボットネット妨害と、米国、英国、欧州連合による制裁に続く措置となる。
- ドメインの差し押さえは攻撃者のインフラを遮断するが、被害ネットワーク内にすでに存在するマルウェアや窃取された認証情報は削除しない。
- 今回の作戦に伴う逮捕や刑事訴追、次回の審理日は発表されていない。
