タイ大手回線事業者3BBに不正侵入、正規の遠隔管理ツールをバックドアに悪用し顧客認証情報を標的か

要点

• タイの大手ブロードバンド事業者「3BB」の社内ネットワークが不正侵入を受け、脅威インテリジェンス企業Hunt.ioがその手口を公表した。

• 攻撃者は正規のリモート管理ツール「MeshCentral」を隠しバックドアとして導入し、内部サーバーの最高管理者権限（root）を維持していた。

• 侵入者は55台以上の社内端末への認証攻撃や内部ポータルの探索を行い、顧客の接続用認証情報を蓄積するRADIUSデータベースの複製を試みていた。

• 侵入経路にはFortiGate製VPN機器の既知の脆弱性（CVE-2024-21762）を突くツールが用意されていたが、実際の侵入経路となったかは未確定である。

• タイの大手ブロードバンド事業者である3BBの社内ネットワークにおいて、外部の攻撃者が侵入し、システムを遠隔操作していたことが明らかになった。サイバー脅威インテリジェンスを提供するHunt.ioが2026年9月に公開した調査結果によると、攻撃者は一般のIT管理に用いられる正規ツールをバックドアとして悪用し、社内サーバーの最高管理者権限（root権限：システムの全操作が可能な特権）を掌握していたという。

公開サーバーに残された攻撃ツールとバックドアの痕跡

Hunt.ioの発表によると、今回の不正アクセスは、攻撃者がインターネット上に誤って公開したまま放置していたサーバーを調査したことで発覚した。研究チームが2026年6月3日にこのサーバーを特定した際、攻撃活動は依然として継続中であったという。

サーバー内に残されていたツールは3BBの社内ネットワーク内部にあるコンピューターから実行されており、解析されたファイルからは、攻撃者が内部サーバーのroot権限を完全に掌握していた状況が確認された。

アクセスの恒久化を目的に、攻撃者は「MeshCentral」（PCやサーバーを遠隔から管理するためのオープンソースソフトウェア）を不正に導入していた。MeshCentralは本来、企業のIT部門が保守や運用に使用する正規ツールだが、正当な通信に見せかけて検知をすり抜ける目的でサイバー攻撃者に悪用されるケースが増加している。

回収された設定情報によると、同ツールは隠しバックドア（外部から不正に侵入・操作するための裏口）として構成されていた。侵害された端末上のエージェントは、攻撃者が管理する外部サーバー（www.ayuthayatech[.]com）へ通信し、「TH-3BB」と名付けられたデバイスグループへ自動的に登録される仕組みになっていたという。

さらにサーバーからは、接続端末の一覧や証跡隠蔽用のスクリプトも見つかっている。一覧に記録されていた複数の内部端末はroot権限で接続・稼働中であり、攻撃者が広範な制御権を保持していたことが示されていた。また、作成されたスクリプトはログの消去や他の攻撃ツールの削除を行う一方、再侵入経路を維持するためにMeshCentralのエージェントだけを意図的に残すよう設計されていた。

顧客認証データの収集と社内ネットワークの探索

Hunt.ioは、攻撃者の主な標的が3BBの加入者データであったと分析している。放置サーバーからは、ブロードバンド契約者がインターネットに接続する際の認証情報を管理する「RADIUSデータベース」の内容を外部へ複製・コピーするための専用スクリプトが回収された。ただし、データベースが標的となっていた証拠はあるものの、実際にデータが外部へ持ち出されたかどうかまでは確認されていない。

侵入後、攻撃者は社内でのアクセス範囲を広げるため、多角的な探索活動を展開していた。具体的には、55台以上の社内コンピューターに対してSSH経由でパスワードを総当たりする「パスワードスプレー攻撃」（アカウントロックを避けつつ少数のパスワードを多数のアカウントに試す手法）を実行していたほか、3BBの社内販売ポータル（agent.3bb.co[.]th）への調査を行っていた。

また、侵入した端末内から保存されたパスワード、データベースのログイン情報、SSH鍵を探索するスクリプトや、Webサーバー上で遠隔操作を可能にするWebシェルを設置するスクリプト、バックアップ用のSSH鍵を追加するスクリプトなども確認されている。

加えて、サーバー内には3BB自身の有効なVPN証明書に加え、3BBと過去にグループ関係にあり現在もインフラを共有している「Jasmine」ネットワーク上のサービスに対する有効なログインセッションも保持されていた。このことから、攻撃者が両方のネットワークを標的に活動していた可能性が指摘されているが、Jasmine側が実際に侵入被害を受けたかは確認されていない。

侵入経路の検証状況と残る未解明点

攻撃者が最初に3BBのネットワークへ侵入した経路については、現時点で特定に至っていない。

攻撃者のサーバーからは、3BBのFortiGate SSL-VPNゲートウェイ（mail.3bb.co[.]th）を狙ったツールキットが発見されており、これには2024年に報告された深刻な脆弱性「CVE-2024-21762」（認証を受けずに遠隔からコード実行が可能な脆弱性）の完全なエクスプロイトコードが含まれていた。対象となっていたゲートウェイ機器は、この脆弱性の影響を受けるファームウェアバージョンで稼働していたという。

しかし、回収されたデータからは、このエクスプロイトが実際に成功したのか、あるいはこの脆弱性が侵入経路として使われたのかを裏付ける決定的な証拠は見つかっていない。Hunt.ioは、ツールキットの存在は攻撃者の能力と意図を示すものではあるが、侵入経路の確定には至らないと説明している。

その後、攻撃者が使用していた公開サーバーのディレクトリは閉鎖された。今回の調査結果は2026年6月初旬時点の状態を示したものであり、現在も3BB内部へのアクセスが残っているかは不明とされている。Hunt.ioは調査結果の公開に先立ち、影響を受ける企業および関係国のセキュリティ対応機関へ事前通知を行ったと述べている。

なお、同種のエッジ機器や認証システムを運用する組織への確認事項として、Fortinetの勧告に基づくCVE-2024-21762へのパッチ適用（即座の修正が困難な場合はSSL-VPN機能自体の停止）や、未承認のMeshCentralエージェントの有無、不審な管理サーバー宛の通信が発生していないかどうかの確認が挙げられている。