Tor出口リレー300台超が乗っ取り被害、SSH接続の横取りとパスワード窃取が発生

要点

• 2026年10月初旬、300台以上のTor出口リレーが乗っ取られ、SSH通信を傍受用サーバーへ誘導する攻撃が発生した。

• 攻撃者は設定ファイルを改ざんしてSSHポートを開放し、ピーク時にはTorの全出口容量の約7.46%を占めた。

• 偽のホスト鍵を受け入れてパスワード認証を行った通信が盗聴され、バックドア「Ebury」の設置などが試みられた。

• 暗号署名にセッション固有値を含む公開鍵認証は中継できず、被害はパスワード認証を利用した接続に限定された。

• Tor Projectは対象リレーを順次特定して排除し、10月5日までにネットワークから完全に遮断した。

• 匿名通信ネットワーク「Tor」において、300台を超える出口リレーが第三者に侵害され、経由するSSH接続を傍受用サーバーへリダイレクトしてログイン情報を盗み取っていたことが明らかになった。セキュリティ研究者のkaba氏による調査やTor Projectの通知で判明したもので、影響を受けたリレーは2026年10月5日までにネットワークから完全に遮断されたという。

ピーク時には出口容量の7％超を占有、迅速なリレー排除を実施

出口リレーとは、Torネットワークから外部のインターネットへ通信を送り出す最終中継地点を指す。研究者のkaba氏が10月2日にTorの全出口リレー約3,000台をスキャンしたところ、333台のリレーが12台の同一の傍受用サーバーへSSH接続を転送している事実を確認した。

Torの公開ディレクトリデータを分析した報告によると、10月1日から4日の間に59の運用者が管理する計377台のリレーで攻撃者によるポリシーへの変更がみられた。ピーク時の10月4日には、これらのリレーがTor全体の出口処理能力の7.46%（コンセンサスウェイト換算）を占めていたという。

Tor Projectのネットワーク健全性チームは10月4日に対象リレーへのフラグ付けを開始し、翌10月5日には利用者が接続先決定に参照する公式リレー一覧「コンセンサス」から該当するすべてのリレーが除外された。

設定ファイルの改ざんとポートの不審な切り替え

出口リレーは、設定ファイル「torrc」内の出口ポリシーで許可されたポート宛ての通信のみを中継する仕組みとなっている。攻撃者はLinuxホストへ侵入してこの設定を書き換え、通常は遮断されていた342台のリレーでSSHの標準ポートであるポート22を開放した。さらに、もともと出口ノードとして動作していなかった24台のリレーを新たに出口リレーへと変更していた。

また、この変更に伴い暗号化メール用のポート（IMAPS、POP3S）が閉じられ、代わりに多くのリレーで平文メール用ポート（IMAP、POP3）が開かれていた。Torクライアントは目的のポートを中継できるリレーのみを選択するため、これらのノードは暗号化メールの中継を停止し、SSHやTelnet、平文メールを中継する状態となった。なお、暗号化メール用ポートを閉じた明確な理由はデータ上確認されていない。

中間者サーバーによる通信傍受とバックドアの配布

SSH接続が傍受サーバーへ誘導されると、サーバーは独自のホスト鍵（サーバーが正当であることをクライアントに示す公開鍵）を提示する。正規サーバーの鍵を登録済みの利用者にはOpenSSHから「ホスト識別情報が変更された」という警告が表示され、初接続の利用者には新規鍵の確認画面が表示された。10月2日のスキャン時点では、十数台が偽の鍵を提示し、約300台は鍵を変更せずに転送していたという。

利用者が警告を無視して鍵を受け入れ、パスワードを入力すると認証情報が盗まれる。傍受サーバーは本来の接続先とも通信を成立させるためセッション自体は正常に動作し、入力コマンドが監視された。さらに攻撃者は盗んだパスワードで別途ログインしてsudo権限の有無を確認し、OpenSSHに寄生するバックドア「Ebury」のインストーラーを実行していたことがハニーポットの調査で判明している。

公開鍵認証による防衛と影響を受けた利用者の対応

一方で、鍵ペアを用いたSSH公開鍵認証を利用していた接続は、この手法で横取りされることはなかった。SSH認証プロトコル（RFC 4252）の仕様上、クライアントの暗号署名にはセッション固有の識別子が含まれるため、傍受サーバー向けに作成された署名は本物のサーバーに対して通用しないためである。これに対し、パスワードは暗号化セッションの内部を通過するため、セッション終端となった傍受サーバーで平文として読み取られてしまった。

被害の対象となったのは、10月1日から5日午後までの間にTor経由でSSH接続を行い、乗っ取られたリレーを経由してホスト鍵を受け入れ、パスワード認証を行ったケースに限られる。公式な被害者数は確認されていないが、該当期間にTor経由で見覚えのないホスト鍵を受け入れた利用者は、パスワードの変更と管理サーバーにおけるEbury感染の確認が呼びかけられている。