[翻訳] 2026年の中国関連のサイバー活動をめぐる事例

---

今回の記事がいいと感じたり、新しいことが知れたら、
対象記事へのいいね または プロフィールへの訪問をどうぞよろしくお願いします。

---

中国関連のサイバー脆弱性とサイバー攻撃：2026年の主要動向

情報基準日：2026年10月25日

2026年、中国と関連づけられるサイバー活動では、ネットワーク機器の脆弱性の悪用、侵害された機器を利用した攻撃基盤の構築、AIを活用した攻撃作業の自動化などが問題になっている。

特に注目されるのは、攻撃者が個々の企業のシステムに侵入するだけでなく、ルーターなどの機器を大規模に侵害し、それらを複数の攻撃に利用できるネットワークを構築している点だ。

以下では、2026年に公表された実際の事例を中心に、脆弱性の悪用方法、被害の特徴、国際的な対応を整理する。

1. 中国関連のハッカー集団が世界各地の組織を標的に

2026年10月：ITサービス企業ConnectWiseへの攻撃

2026年10月21日、ロイター通信は、マイクロソフトが中国政府と連携していると評価するハッカー集団によるサイバー攻撃について報じた。

攻撃者は、ITサービス企業のConnectWiseを侵害したとされる。この活動は、世界各地の数百の組織を標的としたキャンペーンの一環だった。

マイクロソフトがこの集団を追跡する際に使用している名称は「Storm-0940」である。

報道によると、攻撃ではARTEXというオープンソースの侵入テスト用フレームワークが使用された。このツールはAIモデルを利用して、標的の調査などの作業を自動化できる。

侵入テスト自体は、システムの安全性を確認するために正規のセキュリティ専門家も実施するものだ。しかし、攻撃者が同種のツールを悪用すれば、情報収集やデータ窃取などの作業を効率化できる。

マイクロソフトによると、攻撃対象には航空宇宙、防衛、エネルギー、金融、政府機関、半導体、製造業、テクノロジー企業など、幅広い分野が含まれていた。

標的の大半に対する攻撃は成功しなかったとされる一方、一部の組織では、攻撃者がクラウド環境への高い権限を維持できる状態に至った。

これは、システムの侵害を検知して初期対応を行っただけでは、攻撃者のアクセスを完全に排除できない場合があることを示している。

ConnectWiseの経営陣も、サービスの復旧作業と、顧客ごとの環境に不正アクセスが残っていないかを確認する作業は別だと説明した。

なお、中国大使館の報道担当者は、中国がハッキングに反対していると述べるとともに、サイバーセキュリティを口実に中国を非難することにも反対した。

確認できる事実と評価の区別： 攻撃に関する情報は、マイクロソフトの分析とConnectWise側の説明に基づく。中国政府との関係については、米国側の評価として理解する必要があり、報道された内容だけで中国政府による個々の攻撃指令まで証明されたわけではない。

出典：Reutersの報道「Chinese-linked hackers compromise ConnectWise, target hundreds in global attack, Microsoft says」(リンクはココナラポリシー遵守のため省略)

2. 侵害されたルーターやIoT機器を利用する大規模ネットワーク

2026年4月：複数国の政府機関が共同勧告を公表

2026年4月23日、米国国家安全保障局（NSA）と各国のサイバーセキュリティ機関は、中国と関連づけられる脅威アクターが、侵害された機器を利用して大規模な隠蔽ネットワークを構築しているとして、共同のサイバーセキュリティ勧告を公表した。

この勧告には、英国やオーストラリアなどの機関も参加した。

問題となっているのは、次のような機器だ。

- ルーター
- ファイアウォール
- ネットワーク接続ストレージ（NAS）
- ウェブカメラ
- ビデオ録画装置
- その他のIoT機器

これらの機器は、脆弱性を悪用されるなどして、所有者が気づかないうちに攻撃者のネットワークに組み込まれる可能性がある。

どのように悪用されるのか

例えば、攻撃者が複数のルーターを侵害したとする。

攻撃者は、そのルーター群を経由して別の企業のシステムに接続することで、自分たちが管理するサーバーから直接アクセスする場合よりも、活動の追跡を難しくできる。

さらに、こうしたネットワークが大規模化すると、攻撃者は複数の機器や接続経路を利用できるようになる。

この仕組みには、主に次のような問題がある。

第一に、攻撃の発信元を特定しにくくなる。

不正アクセスが一般家庭や企業のルーターなどを経由して行われると、その機器の所有者が攻撃者であるとは限らない。侵害された機器の正規の利用者が、攻撃活動と無関係である場合もある。

第二に、攻撃基盤を使い回せる。

侵害された機器を集めたネットワークは、特定の攻撃者だけでなく、複数の脅威アクターによって利用される可能性がある。

第三に、攻撃の痕跡が変化する。

機器の修正プログラム適用、ネットワークの遮断、新たな脆弱性の悪用などによって、攻撃に使用されるインフラは変化し得る。そのため、既知の不正なIPアドレスなどをリスト化するだけでは、継続的な対策として不十分になる場合がある。

NSAは、こうしたネットワークが低コストで運用でき、攻撃活動の発信元を隠すのにも利用されると説明している。

重要なのは、一般の家庭や企業が使用する機器も、攻撃者にとっての中継地点になり得るという点だ。標的となる企業だけでなく、機器を所有する第三者にも影響が及ぶ可能性がある。

出典：
- 米国国家安全保障局（NSA）の2026年4月23日付発表(リンクはココナラポリシー遵守のため省略)
- オーストラリア・サイバーセキュリティセンターの共同勧告(リンクはココナラポリシー遵守のため省略)

3. 2026年8月：ハッカー集団QTFYによる脆弱性の悪用

2026年8月26日、米国国家安全保障局（NSA）、連邦捜査局（FBI）、サイバー国家任務部隊（CNMF）は、中国と関連づけられるハッカー集団QTFYについて共同勧告を発表した。

この集団は、自らの活動やツールに関連して「QTFY」「QT」「QTCYBER」という名称を使用している。

米国当局の発表によると、この集団は2018年以降、悪意あるツールの開発、マルウェアや脆弱性を悪用する手法の取引、侵害されたIoT機器を利用するネットワークの構築などを行ってきたとされる。

標的には、防衛関連産業、通信、地方政府、高等教育機関などが含まれている。

脆弱性の発見から侵入後のアクセス維持まで

当局の勧告では、QTFYに関連するツールや活動について、次のような特徴が説明されている。

- QScan： ネットワークの調査、脆弱なIoT機器の発見、脆弱性の特定や悪用に関係するプラットフォーム。
- QTRouter： 通常の利用者による通信に紛れ込むことなどを目的とした、通信の隠蔽に関係するネットワーク。
- ボットネット管理プラットフォーム： 侵害されたIoT機器を管理し、ネットワークの構成要素として利用するための仕組み。

当局は、同集団がゼロデイ脆弱性と既知の脆弱性の両方を利用し、標的のネットワークへの侵入や、侵害されたシステムからの認証情報の取得を行うと説明している。

ここで重要なのは、脆弱性を悪用して侵入することと、侵入後にアクセスを維持することは、異なる段階だという点である。

最初の侵入に使われた脆弱性が修正されても、攻撃者が別の方法でアクセス権を確保していれば、影響が継続する可能性がある。

そのため、ソフトウェアの更新だけでなく、侵害の痕跡の調査や、重要システムと外部接続機器の分離も必要になる。

米国当局が推奨した対策

共同勧告では、組織に対して次のような対策が推奨された。

- ソフトウェアとファームウェアを最新の状態に保つ。
- インターネットに公開しているウェブサイトやアプリケーションを定期的に点検する。
- 重要なシステムを、外部ネットワークに接続する機器から分離する。
- 公表された侵害指標を使い、不正アクセスの痕跡を調査する。

これらはQTFYだけに限定される対策ではなく、外部からの侵入を受ける可能性がある組織全般に関係する。

なお、QTFYと中国との関係については米国当局による評価である。 公開された勧告は同集団の活動に関する重要な情報を提供しているが、個々の事件について、どこまで中国政府が直接関与したかは、別途検証すべき問題である。

出典：NSAの2026年8月26日付共同勧告の発表(リンクはココナラポリシー遵守のため省略)

4. 2026年10月：中国関連のサイバー活動を支援したとされる企業への対応

2026年10月8日、米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）、FBI、NSAなどは、中国に拠点を置くIntegrity Technology Group（Integrity Tech）について、世界各地の組織を標的とするサイバー活動を支援しているとして共同勧告を公表した。

米国当局によると、同社は中国政府とのつながりを持ち、悪意ある活動に使用されるツールの取得・開発や、攻撃に利用されるインフラの提供などに関係していたとされる。

当局が説明した活動には、北米、東南アジア、アフリカなどで確認された事例が含まれる。

標的となった分野には、政府機関、重要製造業、医療、教育などが挙げられた。

攻撃者が利用した主な手法

1. 大規模なボットネット

侵害された機器をネットワーク化し、攻撃活動の中継や実行に利用する。

2. VPNなどのネットワークインフラ

通信経路を構成し、攻撃者の活動を隠蔽したり、侵害したシステムへのアクセスを維持したりするために利用される場合がある。

3. 正規の管理ツールの悪用

「Living off the land」と呼ばれる手法で、対象システムに標準搭載されている管理機能や正規のツールを悪用する。

この手法では、外部から明らかに不審なプログラムを持ち込む代わりに、システム内に既に存在する機能を利用するため、通常の管理作業と悪意ある活動を区別しにくくなる場合がある。

米国当局は、こうした活動への対策として、既に悪用が確認された脆弱性への修正プログラム適用や、外部接続機器の保護、侵害の痕跡の調査などを推奨した。

10月8日には関連ツールの差し押さえも発表

同日、米司法省とFBIは、Integrity Techに関係する攻撃者が使用していたとされる「Microscan」と「FishHub」というツールについて、裁判所の許可を得た差し押さえ措置を発表した。

米当局の説明では、これらのツールは、重要インフラやその他のネットワークを調査し、一部のシステムへの侵入に利用されていた。

この措置は、個々の脆弱性を修正するだけでなく、攻撃者が利用するインフラやツール自体を無力化しようとする対応の一例である。

ただし、特定のツールやインフラが差し押さえられたとしても、それだけで関連するすべての攻撃活動が停止するとは限らない。

出典：
- CISAなどによる2026年10月8日付共同勧告の発表(リンクはココナラポリシー遵守のため省略)
- 米司法省による攻撃ツール差し押さえの発表(リンクはココナラポリシー遵守のため省略)

5. サイバー脆弱性をめぐる重要用語と、その実際の意味

2026年の事例を理解するうえで、いくつかの用語を区別しておく必要がある。

Vulnerability：脆弱性

ソフトウェア、ハードウェア、ネットワーク機器などに存在する、セキュリティ上の弱点を指す。

脆弱性が発見されたからといって、必ずしも実際に攻撃が発生したことを意味するわけではない。

また、脆弱性が存在する機器であっても、設定やネットワーク構成などによって実際の危険度は異なる。

Exploit：脆弱性を悪用する手段・行為

脆弱性を利用して、想定されていない操作やアクセスを実現する手法、コード、プログラムなどを指す。

文脈によっては、脆弱性を悪用する行為そのものを意味する。

Zero-day vulnerability：ゼロデイ脆弱性

一般に、開発者などによる修正が利用できない段階で悪用される脆弱性を指す。厳密な定義は文脈によって異なる。

重要なのは、ゼロデイという言葉が、単に「新しく発見された脆弱性」を意味するわけではないことだ。攻撃への利用状況や、修正プログラムの提供状況が重要になる。

Botnet：ボットネット

攻撃者などによって遠隔から操作される、多数の侵害済み機器から構成されるネットワーク。

感染したパソコンだけでなく、ルーターやIoT機器などが構成要素になる場合もある。

2026年に各国当局が警告している中国関連の活動では、このようなネットワークが攻撃の中継や活動の隠蔽に利用される点が問題になっている。

Persistence：アクセスの維持

攻撃者がシステムに侵入した後も、継続してアクセスできる状態を保つこと。

侵入のきっかけとなった脆弱性を修正しても、攻撃者が別のアクセス手段を確保していれば、侵害が解消されたとは限らない。

Critical infrastructure：重要インフラ

社会や経済の維持に不可欠なシステムやサービスを指す。

具体的な対象は国によって異なるが、電力、通信、交通、医療、金融などが代表例となる。

これらのシステムが侵害された場合、情報漏えいだけでなく、サービスの停止や物理的な業務への影響につながる可能性がある。

6. 2026年の事例から見える、サイバー攻撃の三つの変化

ここまでの事例をまとめると、注目すべき傾向は三つある。

① 攻撃対象が個別の企業から広範なネットワークへ

攻撃者は、標的となる企業のシステムだけでなく、外部に接続されたルーターやIoT機器なども利用する。

これにより、標的組織と直接関係のない第三者の機器が、攻撃の中継地点になる可能性がある。

② 脆弱性の悪用と侵入後の活動を分けて考える必要がある

サイバー攻撃は、脆弱性を悪用して侵入する段階だけで終わるわけではない。

侵入後に認証情報を取得したり、アクセス権を維持したり、別のシステムへ移動したりする場合がある。

したがって、修正プログラムを適用したことと、侵害を完全に解消したことは同じではない。

③ AIや自動化ツールが攻撃活動に利用される

ConnectWiseに関する事例では、AIを活用できる侵入テスト用フレームワークARTEXが使用されたと報じられた。

ただし、AIを利用できるツール自体が悪意あるものとは限らない。正規のセキュリティ検査にも利用できる技術が、攻撃者によって悪用されることが問題なのである。

また、AIが使用されたという事実だけで、攻撃のすべてが自律的に実行されたと判断することもできない。

7. 日本の企業や一般利用者にとって何が重要か

今回取り上げた事例の中心は米国などの組織だが、確認された攻撃手法は日本の企業や個人にとっても無関係ではない。

特に注意したいのは、次の点である。

- ルーターやネットワーク機器の更新： 古いファームウェアを使い続けると、既知の脆弱性を悪用される危険性がある。
- 外部公開システムの管理： インターネットからアクセスできるサーバーや管理画面は、攻撃者による調査の対象になり得る。
- クラウド環境のアクセス管理： 不正アクセスが発生した場合、侵入経路を塞ぐだけでなく、アカウントや権限の悪用が継続していないかを確認する必要がある。
- 侵害の痕跡の継続的な監視： 攻撃者が正規の管理機能を悪用すると、通常の業務と区別することが難しい場合がある。
- 重要システムの分離： 外部接続機器と重要な業務システムを適切に分離することは、侵害の影響を抑えるうえで重要である。

こうした対策は、中国関連とされる攻撃だけを対象とするものではない。攻撃者の国籍や所属にかかわらず、基本的なセキュリティ対策として重要である。

具体的な脆弱性情報や対策を確認する場合は、以下の公的機関の情報が参考になる。

- 米国CISAのサイバーセキュリティ情報(リンクはココナラポリシー遵守のため省略)
- オーストラリア・サイバーセキュリティセンターの勧告(リンクはココナラポリシー遵守のため省略)
- 米国NSAのサイバーセキュリティ勧告(リンクはココナラポリシー遵守のため省略)



まとめ

2026年に公表された中国関連のサイバー活動をめぐる事例では、単一の脆弱性を悪用する攻撃に加え、侵害済み機器の大規模なネットワーク化、攻撃基盤の共有、侵入後のアクセス維持、AIを利用した作業の自動化などが確認・指摘されている。

特に重要なのは、サイバー攻撃の危険性が、脆弱性そのものだけでなく、侵入後にどのようなアクセスが確保され、どのようなインフラを通じて活動が継続されるかによっても左右されるという点だ。

一方、米国などの政府機関が中国と関連づけている攻撃については、当局の評価と、独立して確認できる事実を区別する必要がある。中国との関連が指摘されたことだけで、中国政府がすべての個別攻撃を直接指揮したと結論づけることはできない。

今後も、脆弱性の修正だけでなく、ネットワーク機器の管理、侵害の検知、アクセス権の確認、攻撃インフラへの対処を組み合わせることが、組織のサイバーセキュリティを確保するうえで重要となる。