民間企業がサイバー攻撃ツールを“堂々開発”？ 偵察対象には日本企業も：偵察対象に日本企業も

標的の弱点を探すツールと、侵入後にファイルを盗み出すツール。こうしたサイバー攻撃の基盤を運用していたのは、民間企業の関係者だった。偵察の対象には日本の空港も含まれていたという。

[＠IT]

　米司法省と米連邦捜査局（FBI）は2026年10月8日（現地時間）、中国企業Integrity Technology Group（以下、Integrity Tech）の関係者が運用・使用した2つのサイバー攻撃ツール「Microscan」と「FishHub」について、裁判所の許可を得て関連ドメインを押収したと発表した。

　両ツールは、米国内外の重要インフラやその他のネットワークを標的とした活動に使われた。司法省が公開した裁判資料によると、Microscanは標的ネットワークの脆弱（ぜいじゃく）性を調査するために、FishHubはスピアフィッシングを通じた侵入や、侵入後の活動を支援するために利用されたとされる。

民間企業がサイバー攻撃ツールを開発　偵察・侵入にどう使用されたか

　裁判資料によると、Integrity Techは「Mirai」マルウェアの亜種に感染したインターネット接続機器を利用してbotネットを構築・運用した。さらに、Microscanを使い、顧客が後の攻撃で悪用できる脆弱性を探すため、標的ネットワークの偵察を実施していた。

　Microscanによる調査対象には、米サウスカロライナ州の電力会社、多国籍の非政府組織、日本とポーランドの空港、台湾の天然ガス・電力関連企業、台湾の大学2校が含まれる。Integrity Techは「c0cc[.]cc」を通じてMicroscanを利用していた。

　一方、FishHubはスピアフィッシングを通じたネットワーク侵害を支援するツールだ。侵入後に追加のマルウェアを送り込み、顧客による不正な遠隔アクセスを可能にした他、特定のファイルを検索してIntegrity Techが管理するサーバに送信する機能も備えていたとされる。

　FishHubに関連する活動が確認された組織には、台湾の大学約20校が含まれる。追加マルウェアの配布には「98aicai[.]com」「98aicode[.]com」「outlook3650[.]com」「youtubecard[.]com」「linkedinns[.]net」の5ドメインが使われた。

　このように、今回明らかになった活動では、標的の弱点を探る偵察と、侵入後の遠隔アクセスやファイル窃取につながる活動が確認された。ただしMicroscanとFishHubが個々の標的に対して必ず一連の攻撃として使用されたことを示すものではない。

2度目の攻撃基盤摘発、企業は何を確認すべきか

　司法省がIntegrity Techの攻撃基盤を公に妨害するのは今回が2回目となる。2024年9月には、米国を含む世界各地の消費者向け機器20万台超で構成された、同社のMirai系botネットに対して裁判所の許可に基づく妨害措置を実施していた。

　今回の措置では、MicroscanとFishHubへのアクセスを妨げるため、関連ドメインが押収された。司法省の発表では、両ツールに関連するドメインに加え、不正な遠隔管理ソフトウェアに関連するドメインも対象となった。

　FBIは今回の措置に合わせ、米国内外の協力機関とサイバーセキュリティ勧告を公表した。勧告にはIntegrity Techの活動に関連する侵害指標（IoC）が含まれ、ネットワーク防御の担当者が侵害の兆候を特定し、対応するために利用できる。

　FBIサイバー部門のブレット・レザーマン氏は、中国が契約企業などを介して悪意あるサイバー活動の規模や到達範囲を拡大していると指摘した。司法省も、攻撃基盤を明らかにして妨害することで、標的への攻撃を難しくする狙いを示している。

　捜査はFBIサンディエゴ支局とボルティモア支局がサイバー部門と連携して担当し、訴追には司法省の担当者らが当たる。日本の警察庁も捜査に協力した。

　今回の発表は攻撃基盤を押収する法執行機関の取り組みだけでなく、企業側の備えを考える上でも示唆がある。防御担当者は、公開された勧告に含まれる侵害指標を確認し、自組織のネットワークやセキュリティ機器のログと照合することが重要だ。

　また、脆弱性の調査が確認されたことと、実際に侵入や情報窃取が発生したことは区別しなければならない。自組織が標的になっていないかどうかを調べる際には、脆弱性管理に加え、外部公開資産の把握、不審な通信や認証の監視、侵害が疑われる場合の調査・対応体制も確認したい。