米政府機関の大量情報漏えいに関与との疑いも

FBIが中国籍の男を逮捕　“米国史上最悪”の情報漏えい事件との関係を解説

米連邦捜査局（FBI）は、米連邦政府の人事管理局（OPM）の大規模な個人情報流出を引き起こしたマルウェア「Sakula」を使った別のサイバー攻撃に関与した疑いで、中国籍の男を逮捕した。

公開 2017年09月08日 05時00分

更新 2018年03月01日 11時29分

著者

Michael Heller

[TechTarget]

印刷する

Sakula関連では中国で2人のハッカーが逮捕されている

　FBIは、マルウェア「Sakula」を使ったサイバー攻撃に関与した疑いで中国籍の男を逮捕した。ただし、専門家らは、この逮捕劇を米連邦政府の人事管理局（OPM）の情報流出事件（注1）と関連付ける報道を疑問視している。

※注1：2015年6月、何者かがOPMにサイバー攻撃を仕掛け、連邦政府職員などの個人情報が2000万人規模で流出した。流出した情報には、500万人以上の指紋情報や政府職員の家族の個人情報なども含まれ、米国史上最悪の情報漏えい事件といわれる。

　起訴状によれば、逮捕されたユ・ピンガン氏（別名「ゴールドサン（GoldSun）」）は、中国のマルウェアブローカーであり、Sakulaを含む有害なソフトウェアツールを入手、使用した疑いがあるという。現在、同氏を含む複数の人間には、米国などの企業から収集したIPアドレスをもとに、“水飲み場型攻撃”（注2）を含む攻撃方法を使って「企業のネットワークにファイルやプログラムを不正にインストールした、あるいはインストールを試みた」容疑がかかっているという。

※注2：ターゲットがひんぱんにアクセスするWebサイトを改ざんし、マルウェアに感染させるサイバー攻撃の手法。

　ユ氏は2017年8月23日、会議に出席するために米国に入国し、ロサンゼルスで逮捕された。CNNが、同氏の逮捕を最初に報じた。

併せて読みたいお薦め記事

米国のたどる「サイバー攻撃との戦い」を巡る議論

一部報道への疑惑も

　今回の逮捕に関する速報には、「ユ氏の入手したSakulaがOPMへのサイバー攻撃情報に使われた」とするものも散見できる。ただし、2015年末には、中国政府がOPMの事件に関与したとして別の2人のハッカーを逮捕している。米国によるユ氏の起訴内容は、OPMに対する攻撃の容疑ではなく、あくまで2011年4月17日から2014年1月17日までの米国企業4社などに対する攻撃への関与だという。

　米下院行政監視・政府改革委員会の調査によれば、OPMの情報流出に関与した2人の攻撃者が米政府のシステムに最初に侵入したのは2012年7月と2014年5月であり、ユ氏の起訴内容にこれらの日付は含まれていない。

　そもそも「SakulaがOPM攻撃に使われた」とする報道は、2015年6月5日にFBIが別々に発行した2件のレポートを関連付けて根拠にしている。このうち一方はSakulaマルウェアをについて詳細を記したもので、もう一方はOPMの情報流出事件についてのものだった。ただし、前者はOPM攻撃や医療保険会社Anthemに対するサイバー攻撃（OPMと同じ攻撃者の仕業と見られた）には言及していなかった。

　TechTargetの問い合わせに対し、FBI報道官の1人は「起訴状で公開されている情報以外に提供できる情報はない」と回答した。

専門家はSakulaとの関連を疑問視

　セキュリティ調査会社のCrowdStrikeおよびFireEyeの調査によれば、Sakulaは多数のサイバー攻撃に関係しており、最後の攻撃が確認されたのは2015年だという。

　CrowdStrikeのインテリジェンス担当バイスプレジデントを務めるアダム・マイヤーズ氏は、「SakulaとOPM攻撃の関係を示す証拠は見つかっていない」と話す。同氏によれば、Sakulaは複数年にわたり、中国とつながりのある攻撃者によって、各国の航空宇宙関連機関や企業を標的とした攻撃に使われた。その間、何者かが常にSakulaの改良を進め、中国とつながりのある複数の攻撃者がこれを使用した可能性がある。「現時点で、CrowdStrikeは、今回の起訴内容が2014年のOPM事件に関係しているとは見ていない」とマイヤーズ氏は話す。

　一方、FireEyeの上級アナリスト、バリー・ベンゲリク氏は、同社がサイバー攻撃グループ「APT26」や「OPMに対する攻撃に関与した別の小規模グループ」によるSakulaの使用を観測したと話す。同氏によれば、FireEyeは2つないし3つのグループによるSakula（FireEyeはViperと呼ぶ）の使用を観測し、そのうち1つのグループが、OPMへの攻撃に関与していたという。FireEyeの観測した攻撃の大半はAPT26によるものであり、ベンゲリク氏は、「今回の起訴状は、同グループの活動について記述している。観測した活動の大部分は米国で発生していたが、欧州の防衛産業を標的とした活動や、韓国の未特定の標的に対する活動もあった」と語った。

印刷する