パキスタン警察機関に大規模なサイバースパイ攻撃、中国・インド関連のハッカー集団が市民データ管理サーバーなどを侵害

要点

• パキスタンのバロチスタン州警察をはじめとする複数の法執行機関が、長期にわたるサイバースパイ活動の標的になっていたことが判明した。
• 攻撃は2024年2月から2026年4月にかけて実施され、中国およびインドとの関連が疑われる複数のハッカー集団が関与している。
• バロチスタン州警察では、市民や警察職員の犯罪記録や生体認証データ、ホテルの宿泊者登録情報などを管理するシステムが侵害された。
• 中国関連の攻撃グループは、警察と市民が利用する「苦情管理システム（CMS）」にポータル更新を装った不正プログラムを配置していた。
• 攻撃には「PlugX」や「Remcos RAT」など複数のマルウェアが用いられ、アフガニスタン市民の送還計画を装った囮文書による感染工作も確認された。

リード文

米サイバーセキュリティ企業SentinelOneの脅威研究ユニット「SentinelLABS」は、パキスタンの複数の法執行機関を標的とした持続的なサイバースパイ活動に関する調査レポートを公開した。報告によると、このサイバー攻撃は2024年2月から2026年4月にかけて行われ、中国およびインドとの関連が疑われる複数のハッカー集団（脅威アクター）が関与していたことが明らかになった。

本文

標的となった法執行機関と侵害された資産

今回のサイバースパイ活動で最も大きな影響を受けたのは、パキスタン西部のバロチスタン州警察（Balochistan Police）である。SentinelLABSのプリンシパル脅威研究者であるアレクサンダー・ミレンコスキ（Aleksandar Milenkoski）氏によると、同警察で侵害された資産には、警察職員や一般市民の犯罪記録や生体認証データ（身体的特徴を利用して本人確認を行う情報）などの個人情報を管理するウェブアプリケーションのホストサーバーが含まれていた。

さらに、国家身分証明書（ID）の記録と紐付けられた生体認証データ、ホテルやテナントの登録情報、犯罪事件のファイル、および職員の人事記録を管理する複数のウェブアプリケーションやネットワーク機器も標的となった。バロチスタン州警察において、2024年6月2日から2026年4月9日の間に侵害されたアセットは以下の通りである。

• 2台のネットワーク機器
• 「スマート警察署（Smart Police Station）」と呼ばれる警察業務のデジタル化イニシアチブに関連する複数のウェブアプリケーションをホストするウェブサーバー
• 同機関の主要な受信メールゲートウェイとして機能していたFortinet社製の電子メールセキュリティ製品「FortiMail」

また、SentinelLABSは、バロチスタン州警察のほかにも、カイバル・パクトゥンクワ州警察、イスラマバード警察、およびパンジャブ・セーフ・シティーズ・オーソリティ（PSCA）といったパキスタンの複数の法執行機関のインフラにおいてシステム侵害を検出している。

中国関連グループによるシステム更新を装った攻撃

中国との関連が指摘される脅威アクターは、警察関係者と一般市民の双方が利用する「苦情管理システム（CMS）」と呼ばれるウェブアプリケーションを侵害した。そして、このシステム上にポータルサイトのアップデートを装う形で、「カスタムインプラント（感染端末を遠隔操作するために設計された特注の不正プログラム）」を配置していた。CMSは市民も日常的に利用するため、警察職員だけでなく一般の利用者も攻撃の危険にさらされたことになる。

SentinelLABSは、今回の攻撃において4つの異なる脅威クラスター（攻撃グループ）を特定し、それぞれが異なるマルウェア（デバイスやシステムに害を及ぼす悪意のあるソフトウェア）ファミリーを使用していたことを突き止めた。使用されたのは「PlugX」「ShadowPad」「Cobalt Strike」「Remcos RAT」の4種である。

このうち、遠隔操作ツールである「PlugX」と、その後継とされる「ShadowPad」は、伝統的に中国の国家支援を受けるハッキンググループとの関連が指摘されている。SentinelLABSが観測したPlugX（2024年2月27日〜9月28日）およびShadowPad（2024年8月3日〜12月1日）の被害傾向はこの見立てを裏付けるものであった。これらの標的はパキスタン警察にとどまらず、南アジア、東アジア、東南アジア、中央アジア、アラビア半島、および南東ヨーロッパの政府機関、外務、国防、NGO、研究機関などに及んでおり、中国の国益に沿った情報収集活動のプロファイルと一致している。

また、「Cobalt Strike（ペネトレーションテスト用のツールだが攻撃者に悪用されるケースが多い）」を用いたグループも、中国関連のアクターと評価されている。攻撃者が制御する「C2サーバー（乗っ取った端末に指示を送るための司令塔となるサーバー）」である「142.171.183[.]8」へのトラフィックを調査したところ、通信先はパキスタン警察だけでなく、アジア、中東、南米の政府、学術、電気通信、NGOにまで広がっていた。この中には、中国から長期にわたりサイバースパイの標的にされてきた台湾のチベット仏教組織も含まれていた。

インド関連グループの関与と攻撃手法

一方、遠隔操作用ツールである「Remcos RAT」を使用したグループについては、インドに関連する脅威アクターの関与が疑われている。この活動グループは、別名「APT-C-08」「APT-K-47」「TAG-179」としても知られるハッキンググループ「Mysterious Elephant（ミステリアス・エレファント）」と、攻撃インフラや戦術面で重複があることが評価されている。さらに、Mysterious Elephantは「SideWinder」「Confucius」「Bitter」といった他のインド関連の脅威アクターとも共通点を持っているという。

これらのグループが用いたアタックチェーン（システムへの侵入から目的の達成に至るまでの一連の攻撃プロセス）では、パキスタンの法執行機関に関連する偽の情報を囮（デコイ）として使用していた。具体的には、アフガニスタン市民カード（ACC）保持者を含む「不法外国人の本国送還に関する運用計画」が記されていると称する囮の文書を表示させ、標的を騙してシステムに侵入する手法が確認されている。

補足

台湾のチベット仏教組織は、長期にわたり中国からサイバースパイの標的にされてきた経緯がある。今回のパキスタン警察を狙った攻撃クラスターでも、同様の組織への通信が確認されている。