(2025.9.26 Bitter Winter
世界的に著名なマルウェア・サイバー犯罪研究サイトSentinelLabsがこのほど、“Silk Spun from HafniumHafnium”と題する調査報告書を発表。”Hafnium（別名Silk Typhoon）”と呼ばれるハッカー集団の活動を検証し、その活動範囲が従来考えられていたよりも広く、国家支援の度合いが強いことを明らかにした。
また、中国のネットユーザーたちは政府の厳しい検閲の中で、この報告書について議論し、コメントしている。
Hafniumは2021年、マイクロソフトのエクスチェンジサーバーの脆弱性を悪用し、米国の政府機関や民間企業の機密メールへのアクセスを可能にしたことで広く注目を集めた。
当初の侵害はHafniumの責任とされたが、その後、同じ脆弱性を悪用した他のハッカー集団による攻撃が続き、責任の所在を特定するのは困難となった。世界的なサイバーセキュリティ危機を引き起こしたHafniumの関与は、その悪名を高める結果となった。
SentinelLabsの調査報告書は、Hafniumに関連する3社と4名の個人を特定し、いずれも中国の国家安全部（MSS）、特にその上海支部のもとで活動している、としている。これらの組織—上海パワーロック、上海ファイアテック、そして名前の明かされていない第三の企業—は単なる無法集団ではなく、中国政府のために働く契約エージェントであり、攻撃的なサイバー作戦に従事しているようだ。
特に懸念されるのは、これらの企業が開発したツールの多様性だ。上海ファイアテックが申請した特許からは、Appleコンピュータの暗号化データへの遠隔アクセス、ルーターやスマートホーム機器からの情報収集、ハードドライブの復号化、携帯電話の監視が可能であることが示されている。
これらのツールは通常のハッキング活動を越えた侵入レベルを示唆している。データ窃取や家庭内監視、プライベートメッセージへのアクセス、さらにはスマートデバイスの制御にも利用され得る。
調査報告書は、サイバーによる脅威の進化する性質に関する重大な懸念を浮き彫りにしている。サイバーセキュリティ専門家は従来、標的・ツール・手法といった行動パターンからハッカー集団を特定してきたが、SentinelLabsは「この手法が広範な文脈を見落としている」と指摘する。攻撃の背後にいる主体—関連企業・個人・政府—に焦点を移すことで、脅威環境をより包括的に理解できるのだ。
これは重要な示唆である。中国のサイバー活動が単なる個人ハッカーの行為ではないことを示しているからだ。むしろ、請負業者層、政府監督、高度なツールを含む調整された生態系を形成している。これらの企業の多くは複数都市に子会社を持ち、サイバー工作員の全国的なネットワークが構築されていることを示唆している。
Hafnium事件はより大きなパターンの一部だ。調査報告書は、米国・英国・EUが異例の共同批判を行ったHafuniumuによる侵害事件以降、2021年から中国のサイバー戦略がどのように発展したかを概説している。中国はサイバーセキュリティ報告書と政府メディアのメッセージを組み合わせた、組織的なプロパガンダ活動を展開している。これはサイバー活動が中国の政治手法に深く組み込まれている実態を示している。
最近、米司法省の起訴状により、Hafniumに関連するハッカーや企業がさらに特定された。これらの訴訟は、これらの主体が中国の国家インフラにどれほど深く組み込まれているかを暴露している。例えば、あるハッカーは中国国家安全局上海支部に直接報告し、他のハッカーを監督し、攻撃を組織していたことが判明した。
この調査報告書の最も注目すべき点は、ハッキングの背後にいる人物に焦点を当てていることだ。張宇や徐沢偉（後者は7月8日にイタリアで逮捕）といった人物をプロファイリングしている。彼らは「民間企業に勤務しながら、中国・国家安全部のために作戦を実行した」と報じられている。
彼らの経歴は、大学のテック系スタートアップからAppleデバイスのフォレンジックに関する公開講演まで多岐にわたり、「地下室に潜む影」のような存在ではなく、「公然と活動する専門家」であることを示している。
（写真は、2025年7月8日、イタリアで逮捕された徐沢偉＝Xより）
この人的側面はさらなる複雑性を加える。中国の技術分野でサイバースキルが育成され、個人が学界・民間企業・政府職を移動する実態を浮き彫りにする。同時に帰属判定も困難化する。同一人物が商業活動と政府支援型ハッキングの両方に関与する場合、正当な事業活動とスパイ行為の区別が難しくなるのだ。
SentinelLabsの報告書は、「中国のサイバー能力が、高度に洗練され、制度化されている点」を強調している。報告書で詳述されたツールは、政府高官の監視、企業からの知的財産窃取、反体制派やジャーナリストの追跡、あるいは中国を批判する人権や宗教的自由活動家を含む外国人の監視に利用され得る。
これらのツールは特許を取得しており、実在する企業と結びついているため、販売・共有・転用が可能であり、その影響力は中国の国境をはるかに超えて及ぶ。
さらに調査報告書は、「こうした高度な能力の多くが、実世界の攻撃では未だ確認されていない」と指摘する。これは防御する側が脅威の全容を把握しておらず、対抗準備が整っていない可能性を示唆している。
こうした分析を踏まえ、報告書は、中国のサイバー脅威に対する国際的な対応の抜本的な見直し、刷新を提唱。
防御側はマルウェアや攻撃パターンの監視だけに留まらず、これらの活動の背後にいる組織の理解に注力し、具体的には、ツールを開発する企業、それを運用する個人、そしてその行動を指揮する政府や共産党機関を特定することが必要、としている。
このような提言は、被害を受けている国々の外交的取り組みの指針ともなり得る。国家支援ハッカーの責任追及方法を決定する上でも役立つだろう。
（翻訳・編集「カトリック・あい」南條俊二）
