地政学的動向を背景としたロシア系脅威アクターの活動と日本への影響（前編）

2. ロシア系脅威アクターの攻撃活動に関する特徴

前項で抽出した各脅威アクターの攻撃活動とその特徴についてまとめます。

i. 国家支援型スパイ活動・妨害工作グループ

Blue Athena

Blue Athena（APT28）は、露連邦軍参謀本部情報総局（GRU）に所属する第85主要特殊サービスセンター（GTsSS）第26155部隊に関連付けられているロシア系脅威アクターです。過去には、2016年米国大統領選挙において、米国民主党全国委員会（DNC）のネットワークを侵害することで民主党陣営に不利な情報を漏洩したほか、複数の著名な国際機関を標的としたサイバー攻撃を行ったとされています。さらに、ウクライナ情勢の緊迫化を背景に、近年は欧州各国の政府機関やNATO関連等を標的に機密情報の窃取を目的としたスピアフィッシング攻撃が多数観測されています。

標的システム内に長期間潜伏するために用いられるバックドア型マルウェアのHeadlaceやZebrocyを配布する方法も巧妙で、開発者向けWebフックテストツールを悪用して外交官向けにおとり広告を送付する手法や、外交政策や軍事同盟、新型コロナウイルス等に関する最新のトピックについて英語で記載された悪意のあるドキュメントを添付した標的型メール攻撃を戦術として採用するケースが報告されています。

なお、Zebrocyは過去に日本を標的に含む攻撃キャンペーンにも用いられていることが確認されています。上記のような標的型メール攻撃のほかにも、ネットワークの末端に位置する監視対象となっていない機器（ルーターやゲートウェイ、メールサーバー、ファイアウォール）を狙った、ブルートフォース攻撃や漏洩した認証情報を悪用した侵害の事例報告もあります。

Blue Kitsune

Blue Kitsune（APT29）は、ロシアの対外情報庁（SVR）に関連付けられているロシア系脅威アクターです。当該脅威アクターも2016年米国大統領選挙に先立ってDNCのネットワークを侵害したほか、Blue Athenaと同様に欧米やアジアの外交機関のネットワークに対する長期的なアクセス経路を複数確保し、各国の政府機関から外交政策に関する情報を収集するスパイ活動に従事しているとされています。

大使館職員に対して行政通知を装ったフィッシングメールを送付し、HTML形式のドロッパーおよび新種のダウンローダーを通じてCobalt Strike BEACONを標的システム内に配送する攻撃手法などが確認されています^*2。

さらに、2024年10月には、日本を含む欧米諸国の政府機関、防衛関連組織、学術研究機関、NGOを標的に、RDP（Remote Desktop Protocol）設定ファイルが含まれるフィッシングメールを送付していたことが報告されています。このメールを開くと悪意のあるサーバーへの接続が自動的に開始され、Blue Kitsuneはこのサーバーに標的デバイスのローカルリソースをマッピングすることで機密情報を窃取していたとされます^*3。

Blue Echidna

Blue Echidna（Sandworm）は、ロシア連邦軍参謀本部情報総局（GRU）に所属する特殊技術センター（GTsST）第74455部隊に関連付けられているロシア系脅威アクターです。過去にBlue Echidnaが展開したと考えられているサイバー攻撃として、2015 年と 2016 年の冬のウクライナの電力網に対するサイバー攻撃、2017 年のウクライナ憲法記念日に合わせて行われた世界規模の NotPetya 攻撃、ロシアのドーピングによるオリンピック出場禁止に対抗して行われたとされる2018 年平昌オリンピックの開会式妨害などが挙げられます。

これらの事例に見られるBlue Echidnaの攻撃手法に係る特徴は、産業用制御システム（ICS: Industrial Control System）を攻撃する能力を有するワイパー型マルウェアの使用です。

2015年12月および2016年12月のウクライナの電力施設を標的としたサイバー攻撃では、IndustroyerやKilldiskと呼ばれるワイパー型マルウェアによってICSを破壊し、実際に大規模停電を引き起こしました。近年では、ハクティビストを装って米国やポーランドの水道施設、フランスの水力発電施設を標的としたサイバー攻撃を行い、制御システムを操作する動画やスクリーンショットを公開しました。米国の水道施設に至っては、実際にシステムの不具合が発生してタンクが溢れたことが報告されています^*4。

このように、Blue Echidnaの妨害工作を動機とした攻撃活動は、特に欧米諸国の重要インフラを標的としており、ウクライナ情勢で対露経済制裁やウクライナ支援を実施する日本も警戒する必要があります。

ii. 親露派ハクティビストグループ

White Dev 149/Blue Kurama/White Dev 135

次に、親露派ハクティビストグループの攻撃活動とその特徴について整理します。前述の国家支援型スパイ活動・妨害工作グループとは異なり、ハクティビストが用いる攻撃手法や動機は比較的シンプルであり、ウクライナやNATOへの支持を表明し、ロシアに批判的である国々や組織に対してDDoS（分散型サービス拒否）攻撃を実施するという特徴があります。

新型コロナウイルス感染症の流行によってDXが加速した昨今の日本社会において、DDoS攻撃の社会的影響はますます大きくなっています。とりわけ、2024年末から2025年年始にかけて集中的に発生した日本を標的としたDDoS攻撃はメディアも大きく取り上げており、システム障害の発生によってフライトの大幅な遅延、ネットバンキングの一時停止、さらには天気予報専門メディアのWebサイトの接続障害など、国民生活に直結する社会インフラが機能不全に陥ったことは憂慮すべき事態です（※当該攻撃はいかなるハクティビストグループも本稿執筆時点で犯行声明等は公表していません）。

このような社会的背景を考慮した場合、ウクライナ情勢が緊迫化した2022年以降に親露派ハクティビストグループが日本を標的としたDDoS攻撃を高い頻度で行っていることに関しては、引き続き警戒が必要です。

とりわけ、現在の日露関係は、ウクライナ支援や対露経済制裁、NATOへの関与、同盟国との軍事演習など、あらゆるコンテキストにおいて停滞状態にあります。したがって、日露関係に影響する地政学的イベントの注視は親露派ハクティビストグループによるサイバー攻撃の予見可能性を一定程度引き上げるのに有効といえます。

他方で、2023年10月7日からイスラエルとハマスの間で続く戦闘に関して、ロシア系脅威アクターと親パレスチナ派ハクティビストグループが共にイスラエルおよびその支援国に対するサイバー攻撃で連携している点も留意すべきです。2023年10月16日、国連安全保障理事会においてロシアが提出したイスラエル・ハマス停戦案に対して日本政府が反対票を投じたことに関連して、親パレスチナのハクティビストグループが日本の政府機関や民間企業のWebサイトに対してDDoS攻撃やWebコンテンツの改ざんを実行したと主張しました。

また、Blue Kuramaも同年10月8日、イスラエル政府の公式ウェブサイトに対するDDoS攻撃の責任を主張しました。当該グループは、イスラエル政府がウクライナのゼレンスキー政権を支持していると非難し、イスラエル政府のシステムを標的にすることを発表しました^*5。本稿執筆時点で、Blue Kuramaやその他の親露派ハクティビストグループによるこの問題に関連した日本を標的としたサイバー攻撃は確認されていません。しかし、新たに発足した米第二次トランプ政権の中東政策やその同盟国である日本の外交スタンスによっては、日本が攻撃の対象になる可能性もあるため、引き続き注視していく必要があります。

図表2：White Dev 149/Blue Kurama/White Dev 135によるものとされる近年の攻撃

iii. 影響工作に関与するグループ

Blue Dev 14

Blue Dev 14（別名：Doppelganger）は、ロシアの戦略的目標を支援するために影響力工作を行う脅威アクターです。2022年春以来、特に西欧のウクライナ支援国を標的としてきましたが、2024年にはイスラエルや米国に攻撃活動の焦点を移し、イスラエル・ハマス戦争や米国大統領選挙に関する偽情報を流布しているとされています。また、Blue Dev 14はパリオリンピックを貶める偽情報キャンペーンを欧州の各言語で行い、フランス語のフェイクニュースサイトを使ってIOCの汚職やフランス政府を批判し、社会不安を煽っていたことが報告されています。これはウクライナでの戦争から西側諸国の注意を逸らすためのロシアの戦略と考えられます。

2024年11月に実施された米国大統領選挙に対してBlue Dev 14が行ったとされる影響工作に注目すると、標的国における世論操作を企図した巧みな戦術が見えてきます。米司法省によれば、Blue Dev 14は米国やドイツ、メキシコ、イスラエルなどの報道機関に似せたドメインを作成し、独自のメディアを立ち上げていたのみならず、偽のSNSアカウントやインフルエンサー、AI生成による有料広告を駆使して、有権者を親ロシア的なコンテンツに誘導し、各国の有権者の投票行動に影響を与えることを狙っていました。内容としては、米国がウクライナ支援を縮小し内政に注力すべきといった親ロシア政策を強調しており、有権者層に応じて情報や使用するSNSを変えていたと報告されています^*6。

現時点で、Blue Dev 14が日本を標的に世論操作等を目的とした影響工作を展開した事例は報告されていません。しかし、ウクライナ戦争に関して他の西側諸国と歩調を合わせて反ロシア的な外交政策を継続する日本も今後の情勢次第では標的になる可能性が考えられます。とりわけ、2025年は日本国内で大阪・関西万博等の国際イベントや戦後80周年にまつわるモニュメンタルな行事も予定されているため、SNS空間における偽情報拡散など想定し得る事象には事前に対応策を用意しておくことが肝要です。

本稿では、ロシア系脅威アクターを3種類に大別し、その攻撃パターンを分析しました。後編ではこれをもとに、2025年における重要なイベントを視野に入れ、日本を標的としたロシア系脅威アクターによるサイバー攻撃のシナリオと対応策をまとめます。