中国系企業が関与か、盗難メールを第三者に公開するポータル運用で米FBIなどが警告

要点

• 米FBIなど7カ国の治安機関は、中国企業に関係するハッカー集団が盗難メールを第三者に閲覧させるWebポータルを運営していたと発表した。

• 被害は東南アジアや北米、アフリカの政府機関、医療機関、重要製造業、宗教団体など広範な組織に及んでいる。

• 攻撃者は2021年から活動を継続しており、1,300本超のスクリプトを備えた独自ツールや公開スキャナーで脆弱性を探索していた。

• 関与が指摘された企業は米英両国から制裁を受けており、過去には20万台規模のIoTボットネットを制御していたとされる。

• 米連邦捜査局（FBI）および他6カ国の治安機関は2026年10月8日、中国のサイバーセキュリティ企業と結びつきのあるハッカー集団に関する共同勧告を発表した。発表によると、同集団は世界各地の組織から窃取した電子メールの内容を第三者が閲覧できる専用ポータルを運営していたという。東南アジアや北米の政府機関、重要製造業、医療機関などが標的となっており、少なくとも2021年初頭から不正侵入が継続していたことが明らかになった。

窃取メールを共有する専用ポータルと世界規模の被害

共同勧告によると、このハッカー集団は不正に取得した電子メールの内容に対して「第三者によるアクセスを提供する」Webアプリケーションを運営していた。ただし、このポータルを通じて情報にアクセスしていた第三者の正体については、勧告内では言及されていない。

被害は東南アジアの政府組織、法執行機関、医療システム、宗教団体をはじめ、アフリカや北米の組織にまで広がっている。米国内でも政府サービス、重要製造業、医療、IT、法執行機関、教育機関、宗教組織などが狙われたという。勧告は攻撃者の侵入活動を現在進行形のものとして描写しており、少なくとも2021年1月中旬から侵入を続けているとされるが、個別の窃取日や侵害された組織の総数は明記されていない。

中国企業「Integrity Technology Group」の関与と国際制裁

勧告は、攻撃に関与した主体として中国拠点の営利企業「Integrity Technology Group」を名指しした。同社は中国政府とつながりを持ち、従業員がツールの開発や調達、インフラ提供、侵入行為を行っているとされる。なお勧告では、同社と同社が支援するハッカーを一括して「脅威アクター」と表現しており、個々の侵入の実行者は区別していない。

同社に対しては、米財務省が2025年1月に米国内への不正侵入を理由に制裁を科し、英国政府も同年12月に制裁を発動した。当時のFBI長官であったクリストファー・レイ氏は2024年の講演で、同社会長が中国政府機関向けの情報収集を長年行ってきたと公に認めていると指摘していた。

民間セキュリティ企業は、集団の手口が「Flax Typhoon」や「Ethereal Panda」などの活動と一致していると分析する。なお、Flax TyphoonはMicrosoftが2023年に台湾の組織を標的としていると報告した中国拠点のグループである。一方、同社は2025年1月に上海証券取引所を通じて米国の主張は事実無根と反論し、中国外務省の報道官も米国の制裁に断固反対する声明を出していた。

1,300本超の検査スクリプトと侵入の手口

攻撃者はまず、「Nmap」やWordPress向けの「WPScan」といった公開探索ツールを用い、ポート21、22、53、80、443、1080などをスキャンしてWebアプリケーションの欠陥を探索していた。一般的なツールの多用について、治安機関はより脆弱な標的を探し出そうとする傾向の表れだとみている。

さらに、ハッカーらは2017年から「MicroScan」と呼ばれる独自ツールを使用していた。これはPython製のWebアプリケーションで、OpenSSLやWordPress、Jenkins、Apache Struts、Oracle WebLogic Server、Juniper ScreenOS、Rejetto HFSなどの特定欠陥を調べる1,300本以上のペネトレーションテスト（システムの安全性を検証する侵入実験）用スクリプトを備えている。

侵入にはPythonやGo言語で作られたエクスプロイトコード（脆弱性を悪用するプログラム）に基づくツールが使われ、勧告では悪用に成功した8件の既知の脆弱性が示された。侵入後はMicrosoft 365などのアカウントのパスワードを推測して破り、専用ツールでメールボックスを複製していたという。なお、英国家サイバーセキュリティセンター（NCSC）は発表でハッカーがAIツールを活用していると述べたが、共同勧告本文にAIの記載はない。

過去のボットネット摘発と今回の勧告の位置づけ

今回の勧告内容は、同社に関連する複数の捜査でFBIが確認した証拠に基づいている。

米司法省とFBIは2024年9月、同社が制御していたとされる大規模ボットネット（乗っ取られた機器群）「Raptor Train」の活動を阻止していた。このボットネットはルーターや監視カメラなど20万台以上の消費者向けIoT機器で構成されていた。2024年の措置がインフラの解体であったのに対し、今回の発表はハッカーがどのように標的に侵入し、何を盗み出していたかという手口と被害実態そのものを明らかにしたものとなる。