近年、国家支援型のサイバー攻撃が世界中で激化しています。
その中でも、「Volt Typhoon（ボルト・タイフーン）」は、米国や同盟国の重要インフラを標的とする高度なサイバー攻撃グループとして注目されています。
彼らの攻撃は、一般的なマルウェアとは異なり、正規ツールを悪用する「Living off the Land」戦術を駆使し、検知を回避しながら長期間潜伏することが特徴です。
本記事では、Volt Typhoonの攻撃手法、標的、最新の動向、そして企業・個人が取るべき防御策を詳しく解説します。
あなたの組織や個人情報を守るために、今すぐサイバー攻撃の実態を理解し、適切な対策を講じましょう。
この記事は以下のような人におすすめ！
- Volt Typhoonとは何か知りたい人
- Volt Typhoonの目的は何か知りたい人
- どれくらい危険なグループなのか知りたい人
Volt Typhoonとは何か
近年、国家支援型のサイバー攻撃グループが世界的に注目を集めています。
その中でも、「Volt Typhoon（ボルト・タイフーン）」は、特に米国やその同盟国の重要インフラを標的にしたサイバー攻撃で知られています。
本記事では、Volt Typhoonの概要やその背景、名称の由来について詳しく解説します。
1-1. 概要と背景
1-1-1. Volt Typhoonの概要
Volt Typhoonは、主に米国の重要インフラを標的とし、サイバー諜報活動を行う国家支援型のハッカー集団です。
特に、電力、通信、運輸、防衛産業などの分野に深く関与しているとされ、これらの分野のシステムに長期間潜伏しながら情報収集を行うことが特徴です。
1-1-2. Volt Typhoonの背景
Volt Typhoonが最初に公に報じられたのは、2023年にMicrosoftが発表した調査レポートによるものでした。
このレポートでは、Volt Typhoonが「Living off the Land（LotL）」と呼ばれる攻撃手法を活用し、正規の管理ツールを利用して標的のシステムに侵入していることが指摘されました。
1-2. 名称の由来と別名
1-2-1. 「Volt Typhoon」という名称の由来
「Volt Typhoon（ボルト・タイフーン）」という名前は、電圧（Volt）と台風（Typhoon）を組み合わせたものです。
この名前の由来は、以下の点に関連していると考えられます。
| 用語 | 意味 | 関連性 |
|---|---|---|
| Volt（ボルト） | 電圧・電気 | 電力インフラを標的にする傾向があるため |
| Typhoon（タイフーン） | 台風・強力な嵐 | 攻撃の影響が広範囲に及ぶことを示唆 |
この名称は、サイバーセキュリティ業界が便宜上付けたものであり、攻撃者自身が名乗っているわけではありません。
1-2-2. Volt Typhoonの別名
Volt Typhoonは、国際的なサイバーセキュリティ機関や企業によって異なる名称で呼ばれることがあります。例えば、次のような別名が存在します。
- TAG-0530（Google Threat Analysis Group）
- DEV-0391（Microsoftの初期分類）
- RedStorm（一部の民間セキュリティ企業による命名）
これらの名称は、それぞれの機関や企業が独自の分析のもとに付けたものですが、一般的には「Volt Typhoon」という呼称が広く使用されています。
活動の歴史と主なサイバー攻撃
「Volt Typhoon（ボルト・タイフーン）」は、国家支援型のサイバー攻撃グループとして、米国および同盟国の重要インフラを標的にする高度なサイバー攻撃を行ってきました。
その活動は年々巧妙化しており、特にインフラや通信ネットワークに長期間潜伏する戦術が特徴です。
本章では、Volt Typhoonが関与したとされる主なサイバー攻撃について詳しく解説します。
2-1. 米国重要インフラへの攻撃事例
米国政府や民間のサイバーセキュリティ企業の調査によると、Volt Typhoonは米国内の重要インフラに対して長期的かつ潜伏型の攻撃を仕掛けてきました。
特に以下の分野が標的とされています。
| 攻撃対象 | 影響 |
|---|---|
| 電力インフラ | 送電網や発電施設の制御システムへの侵入 |
| 通信ネットワーク | ISPやクラウドサービスプロバイダーを介した情報収集 |
| 交通・物流 | 港湾・航空システムへのアクセスを試み、物流の混乱を狙う |
| 防衛関連企業 | 軍需産業の機密データを盗み、技術開発に悪用 |
2-1-1. 「Living off the Land」戦術による長期潜伏
Volt Typhoonは、検知を回避するために「Living off the Land（LotL）」と呼ばれる戦術を採用しています。
これは、既存のシステムツールや管理用ソフトウェアを悪用し、マルウェアを使わずに標的のネットワークに潜伏する方法です。
例：LotL戦術の具体的な手法
- Windows PowerShell を利用してリモート操作
- RDP（リモートデスクトッププロトコル） を悪用して遠隔アクセス
- 正規の管理者アカウントを乗っ取り、異常な動作を最小限に抑える
この手法により、従来のセキュリティ対策では異常を検知しにくいため、より高度な監視体制が求められています。
2-2. アジア太平洋地域でのスパイ活動
Volt Typhoonは、米国だけでなく、アジア太平洋地域の同盟国や戦略的に重要な国々に対しても諜報活動を展開しています。
特に、軍事、政府機関、通信インフラを狙ったスパイ活動が報告されています。
2-2-1. 標的となった国々
- 日本：政府機関や防衛関連企業へのサイバー攻撃
- オーストラリア：通信インフラの侵害と機密情報の窃取
- 台湾：軍事・経済分野でのサイバースパイ活動
- フィリピン：海洋監視システムへのアクセス試行
2-2-2. 情報窃取の手口
Volt Typhoonは、標的となる組織のシステムに侵入し、長期間にわたり情報を収集します。
その手口には以下のようなものがあります。
- 正規のVPN（仮想プライベートネットワーク）を悪用し、通信の監視を回避
- フィッシングメールを活用し、政府機関や企業の職員のアカウント情報を窃取
- クラウド環境への潜入を試み、保存された機密データを盗む
アジア太平洋地域でのVolt Typhoonの活動は、国家間の緊張や地政学的リスクと密接に関係しており、今後も継続的な監視が必要とされています。
2-3. Singtelへの侵入とその影響
2-3-1. Singtelとは
Singtel（シングテル）は、シンガポールを拠点とする大手通信企業であり、アジア全域で広範な通信サービスを提供しています。
特に、政府機関や大企業の通信ネットワークを支える重要な企業として位置づけられています。
2-3-2. Volt Typhoonによる攻撃
2023年、Volt Typhoonによる攻撃が報告され、Singtelのネットワークに対する潜入が試みられたとされています。
攻撃の目的は、政府機関や企業の通信データの窃取、およびインフラの監視でした。
| 攻撃手法 | 影響 |
|---|---|
| フィッシング攻撃 | Singtelの従業員アカウントを乗っ取る試み |
| VPN経由の侵入 | 内部ネットワークに潜伏し、データ収集 |
| クラウド環境の探索 | 顧客データや通信ログの取得 |
2-3-3. 影響と対応策
この攻撃により、Singtelは大規模なサイバーセキュリティ強化対策を実施しました。
特に、多要素認証（MFA）の導入強化、異常通信の監視、従業員のセキュリティ教育が行われています。
Volt Typhoonの攻撃は、単なるデータ窃取にとどまらず、国家レベルでの通信インフラの掌握を目的としている可能性が高いため、今後も厳重な警戒が必要です。
攻撃手法と戦術
「Volt Typhoon（ボルト・タイフーン）」は、国家支援型のサイバー攻撃グループとして、検知を回避しながら長期間標的のシステムに潜伏するという高度な戦術を駆使しています。特に、マルウェアを使わずにシステムを乗っ取る手法が特徴的であり、従来のサイバーセキュリティ対策では検出が難しいとされています。
本章では、Volt Typhoonが採用している代表的な攻撃手法について詳しく解説します。
3-1. 「Living off the Land」戦術の活用
「Living off the Land（LotL）」戦術とは、標的システムに元々備わっている正規のツールやプロセスを悪用する攻撃手法です。この戦術を使うことで、マルウェアを使用せずに攻撃を実行できるため、従来のウイルス対策ソフトでは検出が困難になります。
3-1-1. 「Living off the Land」戦術の特徴
- マルウェア不要：外部から新しいソフトウェアを持ち込まないため、検知が難しい
- 管理者の操作に偽装：正規の管理者が実行するコマンドと区別しにくい
- 持続的な潜伏が可能：システムの通常動作に紛れ込み、長期間活動できる
3-1-2. 悪用される代表的なツール
Volt Typhoonは、以下のWindows標準ツールを利用し、攻撃活動を実行します。
| ツール名 | 説明 | 悪用方法 |
|---|---|---|
| PowerShell | Windowsの自動化ツール | コマンドの実行、データの転送 |
| WMIC（Windows Management Instrumentation Command） | システム管理コマンド | システム情報の取得、プロセス実行 |
| RDP（リモートデスクトッププロトコル） | 遠隔操作ツール | 他の端末への不正アクセス |
| Task Scheduler（タスクスケジューラ） | タスク自動実行ツール | マルウェアなしで持続的アクセスを維持 |
3-1-3. 「Living off the Land」攻撃の実例
- 米国の送電網に対する潜伏型攻撃
- Volt Typhoonは、電力会社のネットワークに侵入し、PowerShellを使って情報を収集。
- システムのログに不審な痕跡を残さないように慎重に活動。
- 政府機関のネットワーク監視
- RDPを悪用し、管理者のリモートアクセスを乗っ取ることで、システム内部の情報を窃取。
このように、「Living off the Land」戦術は、Volt Typhoonが標的に潜伏し続けるための中核的な技術となっています。
3-2. 正規アカウントの悪用
Volt Typhoonは、標的組織の正規アカウントを乗っ取ることで、内部ネットワークに侵入し、長期間の監視を行うという戦術を使用します。この手法により、攻撃が発覚しにくくなり、管理者も異常を検知しづらくなります。
3-2-1. 正規アカウント悪用の手口
- フィッシング攻撃による資格情報の窃取
- 標的の従業員に巧妙なフィッシングメールを送信し、ログイン情報を盗む
- ブルートフォース攻撃
- パスワードの推測を繰り返し、正規アカウントにアクセス
- 既存のアカウント情報をダークウェブで入手
- 過去の情報漏えいデータを悪用し、ログイン試行
3-2-2. なぜ正規アカウントが狙われるのか？
- 通常の業務と区別がつきにくい
- セキュリティソフトでは「異常な活動」として検出しにくい
- システム管理者のアカウントを乗っ取れば、全権限を獲得できる
3-2-3. 実際の攻撃例
- 米国の軍需企業への侵入
- Volt Typhoonは、社内のIT管理者のアカウントを乗っ取り、内部ネットワークの監視を実行。
- その後、数か月にわたり情報を収集し、機密データを外部に転送。
- アジアの通信企業に対する攻撃
- 顧客の通話履歴やメッセージを監視するために、オペレーターの管理アカウントを不正利用。
この手法は、攻撃者が長期間潜伏するための極めて効果的な手段となっています。
3-3. スケジュールタスクの作成による持続的アクセス
Volt Typhoonは、Windowsの「タスクスケジューラ」を利用して、持続的なアクセスを確保する手法を採用しています。
3-3-1. スケジュールタスクの悪用方法
- タスクを作成し、自動的に攻撃を実行
- 「1時間ごとに特定のスクリプトを実行する」などの設定を行い、持続的なコントロールを維持。
- マルウェアを使わずに攻撃を維持
- Windows標準機能を使用するため、セキュリティソフトによる検出を回避可能。
- 管理者の操作と見せかける
- 既存の管理タスクに擬態し、不正な活動であると気づかれにくい。
3-3-2. 実際の攻撃シナリオ
- 企業ネットワークへの長期間の潜伏
- 「毎週日曜日の深夜にPowerShellスクリプトを実行」というタスクを作成し、不正アクセスを継続。
- データの定期的な転送
- 企業の機密データを、スケジュールタスクを利用して少しずつ外部へ転送。
3-3-3. スケジュールタスク攻撃の防止策
- タスクスケジューラの定期的な監査
- 未承認のタスクが作成された場合のアラート設定
- PowerShellスクリプトの実行制限
このように、スケジュールタスクを利用することで、Volt Typhoonは長期的な支配を維持しつつ、発覚を遅らせることができます。
標的と目的
「Volt Typhoon（ボルト・タイフーン）」は、国家支援型のサイバー攻撃グループとして、特定の国々や産業をターゲットにした攻撃を行っています。
彼らの目的は、重要インフラの監視、情報窃取、さらには有事の際の混乱工作と考えられています。
本章では、Volt Typhoonの主な標的と、その攻撃がもたらす影響について詳しく解説します。
4-1. 米国および同盟国の重要インフラ
Volt Typhoonは、主に米国およびその同盟国の重要インフラを標的にし、長期間にわたりネットワーク内に潜伏することで、監視活動や攻撃準備を進めています。
4-1-1. 標的となる重要インフラ
- エネルギー施設（電力・石油・ガス）
- 水道・上下水道管理システム
- 交通インフラ（航空・港湾・鉄道）
- 通信ネットワーク（5G・光回線・データセンター）
- 政府機関のITシステム
4-1-2. 攻撃の目的
Volt Typhoonの攻撃は、単なるデータ窃取にとどまらず、有事の際にサイバー戦を仕掛けるための準備と考えられています。
| 目的 | 具体的な手法 |
|---|---|
| 情報収集 | 施設の運用状況、従業員のアクセス権限を監視 |
| インフラ制御の妨害 | システムに潜伏し、必要なときに障害を発生させる |
| 誤情報の拡散 | 監視カメラ・データ管理システムを改ざんし、誤った情報を送信 |
4-1-3. 具体的な攻撃例
- 米国の電力会社への潜入
- Volt Typhoonは、送電網の制御システムに侵入し、リモートから送電の制御を試みたとされる。
- アジア太平洋地域の水道インフラ攻撃
- 浄水場のシステムに不正アクセスし、水質管理データを操作することで、供給を混乱させる可能性が指摘されている。
このように、Volt Typhoonの攻撃は、単なるサイバースパイ活動にとどまらず、インフラの破壊・妨害にもつながる可能性があるため、各国が警戒を強めています。
4-2. 通信およびエネルギーセクター
通信とエネルギーは、国家の安全保障に直結する分野であり、Volt Typhoonの攻撃において特に優先的に標的とされています。
4-2-1. 通信セクターへの攻撃
通信インフラは、政府機関や企業の情報伝達を担う重要な部分であり、Volt Typhoonはこれを支配することで、情報の窃取や通信の遮断を試みています。
| 攻撃対象 | 影響 |
|---|---|
| 5G・モバイル通信ネットワーク | 通話・データ通信の傍受 |
| インターネットプロバイダー（ISP） | ネットワーク障害の発生、監視活動 |
| 海底ケーブルのデータセンター | 国際通信の盗聴、妨害工作 |
4-2-2. エネルギーセクターへの攻撃
Volt Typhoonは、電力や石油・ガス産業に侵入し、長期的な監視や妨害活動を行っています。
特に、スマートグリッド（電力網のデジタル制御システム）をターゲットとする攻撃が増えています。
攻撃の影響
- 送電の遠隔制御を乗っ取り、大規模停電を発生させる
- 石油・ガスパイプラインの監視システムを改ざんし、流通に影響を与える
- 発電施設のシステムに侵入し、機器の誤動作を引き起こす
4-2-3. 具体的な攻撃例
- オーストラリアの通信事業者への攻撃
- Volt Typhoonは、通信インフラに潜入し、政府の機密通信を監視しようと試みた。
- 米国の石油パイプラインへのハッキング
- 過去のサイバー攻撃では、エネルギー施設が人質に取られる形で機能停止に陥った事例があり、Volt Typhoonの攻撃も同様の戦術を採る可能性がある。
4-3. 軍事行動におけるサイバー戦の役割
Volt Typhoonは、平時のスパイ活動だけでなく、有事の際に軍事作戦と連携したサイバー攻撃を行う可能性が指摘されています。
4-3-1. サイバー戦における主な戦術
- 敵の通信を妨害
- 軍事基地や指揮センターの通信ネットワークを混乱させ、指示の伝達を阻害
- 防衛システムの無力化
- レーダーや監視システムに侵入し、敵の攻撃を事前に察知できないようにする
- 偽情報の拡散
- ハッキングしたシステムを利用し、誤った作戦情報を敵国に伝達
4-3-2. 軍事分野での攻撃事例
- 台湾周辺の監視システムへの侵入
- 2023年、台湾の軍事システムへのサイバー攻撃が報告され、Volt Typhoonが関与していた可能性が指摘されている。
- 米軍基地の通信妨害
- 太平洋地域の米軍基地で、通信障害が発生した事例があり、Volt Typhoonによる試験的な攻撃と考えられている。
4-3-3. サイバー戦の未来
Volt Typhoonの活動は、単なる情報収集にとどまらず、実際の軍事行動とリンクする形での攻撃が想定されています。
今後、国際的なサイバー戦のリスクが高まることは間違いありません。
国際的な対応と防御策
「Volt Typhoon（ボルト・タイフーン）」は、国家支援型のサイバー攻撃グループとして、米国やその同盟国に対する重要インフラへの攻撃や情報窃取を行っています。この脅威に対抗するため、各国政府やサイバーセキュリティ機関は防御策の強化や国際協力を進めています。
本章では、Volt Typhoonへの対応策として、政府の動向、企業・個人の防御策、サイバーセキュリティ機関の勧告について詳しく解説します。
5-1. 米国政府および同盟国の対応
米国政府をはじめとする同盟国は、Volt Typhoonの攻撃に対抗するため、法的措置・技術的対応・国際協力を強化しています。
5-1-1. 米国政府の取り組み
米国政府は、Volt Typhoonの脅威に対処するため、以下の施策を実施しています。
| 対策 | 内容 |
|---|---|
| 国家サイバー防御戦略（National Cybersecurity Strategy） | 重要インフラのセキュリティ強化、政府機関・民間企業の協力促進 |
| CISA（Cybersecurity and Infrastructure Security Agency）のガイドライン | サイバー攻撃の検知・防御策の強化 |
| 制裁措置の実施 | Volt Typhoonと関連のある団体・個人に対する経済制裁 |
| 情報共有プログラム | 企業・政府間の脅威情報共有を促進 |
特に、CISA（米国サイバーセキュリティ・インフラセキュリティ庁）は、Volt Typhoonの攻撃パターンを詳細に分析し、企業や政府機関向けに防御策を発表しています。
5-1-2. 同盟国との連携
米国は、NATO・QUAD・Five Eyes（アメリカ、イギリス、カナダ、オーストラリア、ニュージーランド）といった国際的な安全保障枠組みを通じて、Volt Typhoonへの対応を進めています。
具体的な国際協力の例
- 日米同盟によるサイバー防衛の強化
- オーストラリア政府の重要インフラ防御プログラム
- EUのサイバーセキュリティ法の強化
国際的な協力により、各国の政府・企業が連携してVolt Typhoonの脅威に対処する体制が整いつつあります。
5-2. 企業および個人が取るべき防御策
Volt Typhoonの攻撃は、政府機関だけでなく、民間企業や個人にも影響を与える可能性があります。そのため、企業・個人レベルでの防御策が重要となります。
5-2-1. 企業が実施すべき防御策
企業は、Volt Typhoonのような高度なサイバー攻撃に対処するため、セキュリティ強化とインシデント対応計画を徹底する必要があります。
| 防御策 | 内容 |
|---|---|
| ゼロトラストセキュリティの導入 | すべてのアクセスを検証し、不正アクセスを防ぐ |
| 多要素認証（MFA）の導入 | ログイン時に追加認証を行い、不正アクセスを防止 |
| EDR（Endpoint Detection and Response）の活用 | 端末の異常な動作をリアルタイムで検出 |
| 社員向けのセキュリティ教育 | フィッシングメールやソーシャルエンジニアリング攻撃への対策 |
| 定期的なバックアップの実施 | システム侵害時にデータを復旧できるようにする |
企業は特に、「Living off the Land」戦術による攻撃を防ぐため、PowerShellやRDP（リモートデスクトップ）の利用制限などの対策を強化する必要があります。
5-2-2. 個人が実施すべき防御策
個人ユーザーも、Volt Typhoonの標的になる可能性があるため、基本的なサイバーセキュリティ対策を徹底することが重要です。
- 強固なパスワードの使用
- 多要素認証（MFA）の有効化
- フィッシングメールに注意
- 公共Wi-Fiの使用を避ける
- OS・アプリを常に最新バージョンに更新
特に、Volt Typhoonはフィッシングメールを多用するため、不審なメールのリンクをクリックしないことが基本的な防御策となります。
5-3. サイバーセキュリティ機関からの勧告
米国や国際機関のサイバーセキュリティ機関は、Volt Typhoonの脅威に対する勧告を発表しています。
5-3-1. CISA（米国サイバーセキュリティ・インフラ庁）の勧告
米国CISAは、Volt Typhoonの攻撃を防ぐため、以下の対策を推奨しています。
- 管理者アカウントの厳格な管理
- ネットワークトラフィックの監視とログ管理
- VPNのセキュリティ強化
- スケジュールタスクの監査
- PowerShellの使用制限
CISAの公式ガイドラインでは、企業向けの「インシデント対応手順」も公開されており、早期検知・対応が推奨されています。
5-3-2. NCSC（英国国家サイバーセキュリティセンター）の推奨策
イギリスのNCSCも、Volt Typhoonを含む国家支援型のサイバー攻撃に対する警戒を呼びかけています。
- 「Cyber Essentials」プログラムの活用
- 脆弱性診断テストの実施
- 国家レベルのサイバー演習の推進
5-3-3. JPCERT（日本のサイバーセキュリティ機関）の警告
日本のJPCERTは、企業や政府機関向けに以下の防御策を推奨しています。
- システム管理者アカウントの監視強化
- 国内外のサイバー脅威情報の収集
- SOC（Security Operations Center）の運用強化
最新のニュースと今後の展望
「Volt Typhoon（ボルト・タイフーン）」は、中国政府が支援するサイバー攻撃グループとして、米国やその同盟国の重要インフラを標的とした活動を続けています。彼らの高度なステルス技術と持続的な攻撃手法は、国際社会において大きな懸念を引き起こしています。
6-1. 最近の活動と報道
2024年1月、米国司法省とFBIは、Volt Typhoonが使用していた「KVボットネット」の無力化に成功したと発表しました。このボットネットは、米国内のSOHOルーターをハイジャックし、重要インフラへの攻撃を隠蔽するために利用されていました。
同年11月には、シンガポールの通信大手SingtelがVolt Typhoonによる攻撃を受け、マルウェアの侵入が確認されました。Singtelは直ちに対策を講じ、マルウェアを排除したと報告しています。
さらに、2024年12月には、Volt Typhoonが米国の通信ネットワークに深く侵入しているとの報道があり、特にグアムの軍事通信に対する脅威が指摘されました。
6-2. 将来的な脅威と対策の方向性
Volt Typhoonの活動は、単なる情報収集にとどまらず、将来的には米国とアジア地域間の重要な通信インフラを破壊し、危機的状況において米国の軍事行動を妨害する能力を構築することを目的としていると考えられます。
この脅威に対抗するため、各国の政府機関やサイバーセキュリティ組織は、以下の対策を推奨しています。
- 脆弱性の継続的な修正：定期的なパッチ適用とシステムの更新により、攻撃対象領域を最小限に抑える。
- コンプライアンスチェックの徹底：自動修復機能を備えたコンプライアンスチェックを実施し、パスワードの有効期限管理やアンチウイルスソフトの適切な運用を確保する。
- 脅威ハンティングの導入：シグネチャベースの検出を回避する攻撃に対抗するため、脅威ハンティングの仕組みを導入し、異常な活動を早期に検出する。
- ゼロトラストセキュリティの採用：すべてのアクセスを検証し、内部・外部を問わず信頼しないセキュリティモデルを導入する。
- 多要素認証（MFA）の実装：認証プロセスに複数の要素を組み合わせ、不正アクセスを防止する。
これらの対策を講じることで、Volt Typhoonのような高度なサイバー攻撃から重要なインフラや情報を守ることが可能となります。今後も、最新の脅威情報を収集し、適切なセキュリティ対策を継続的に強化することが求められます。
