20/05/24 10:24:00.76 mywLx5H00.net
トレンド社がウイルスバスターの欠陥を公表するのは、この翌日のことだ。
朝日新聞は三菱電機へのサイバー攻撃を報じた翌日の今年1月21日、トレンド社に対し事実確認を求める質問状を
送った。トレンド社は、この欠陥を悪用したサイバー攻撃を2件把握したことを明らかにしたが、三菱電機への
攻撃が該当するかどうかは回答しなかった。他にも何件か質問をしたが、「個別の企業や団体に関する情報は
当社からお答えできない」と返答した。
大手セキュリティー企業ラックは今年4月24日、ウイルスバスターの欠陥をついたサイバー攻撃の手口について、
詳細な調査リポート（URLﾘﾝｸ(www.lac.co.jp)）を公表した。つまり
三菱電機以外にも、被害を被った組織が少なからず存在するということだ。本来ならば、こうした調査結果は
トレンド社が自ら責任を持って公表すべきだろう。
未知の欠陥を悪用するという、ハッカーの驚くべき手口はほかにも見つかった。それは、「仮想プライベート
ネットワーク（VPN）」と呼ばれる通信装置に潜んでいたものだった。VPNとは、社内ネットワークとインター
ネットをつなぐ接続口のような役割を持ち、自宅に居ながらにして社内に簡単にアクセスできるようになる手段だ。
VPN装置同士をつなげば、それぞれの拠点が結ばれ、一つの社内ネットワークを形成できる。三菱電機はこの
ためにVPN装置を導入していた。
ハッカーは中国国内にあるデータセンターに設置されていたVPN装置に目をつけた。装置の欠陥を突き、
三菱電機の中国拠点のネットワークに侵入することに成功した。これがサイバー攻撃の起点となった。
なぜ、この装置の存在をハッカーが知ったのか、シーサートには当時、見当がつかなかった。複数の
海外メーカーのVPN装置に相次いで欠陥が明らかになったのは、ハッカーが侵入してから半年以上後のことだ。
開発元が公表するより前だったり、場合によっては把握すらできていなかったりする時期に、ハッカーは
ウイルスバスターとVPN装置の欠陥を把握し、サイバー攻撃という「実戦」に導入していた。いったい、
このハッカーの正体は何者なのか。三菱電機の関係者は言う。「調査が進むほど、ハッカーが社内を掌握
していた実態が見えてきた。恐ろしい連中だ」
ハッカーはマイクロソフトが提供する、組織内のPCとユーザーを管理するシステム「アクティブディレクトリ
（Active Directory）」から、社員の情報を不正に入手し、どのPCにも入り込める権限を得ていた。
これらの情報を使い、やみくもに社員のPCに入り込むのではなく、より重要な情報にアクセスすることが
できる中間管理職クラスの社員を狙って不正アクセスを繰り返していたようだった。
一方で、社員の権限でアクセスできるPCやサーバーの情報には、根こそぎアクセスしていた痕跡があった。
PCには片っぱしから遠隔操作を試した跡もあった。盗み取った情報は、送信用のPCに集約し、数回に分けて
外部に送っていた痕跡が見つかった。その際「7zip」と呼ばれる圧縮ソフトでデータを暗号化していた。
関係者の一人によると、ハッカーは遠隔操作をするウイルスの通信経路や情報の外部送信用のPCを複数用意
するなど、攻撃の一つが検知されても攻撃が持続できるような仕掛けを施していた、という。「繊細かつ
貪欲（どんよく）」ハッカー集団について、そんな評価をした関係者もいた。
そんな中、シーサートがあるハッカー集団に着目した。ある外資系セキュリティー企業に調査を依頼するなかで、
その名前は浮かび上がってきた。「BlackTech（ブラックテック）」、別名「ブラックパイナップル」などとも
呼ばれる。日本の情報セキュリティー会社マクニカネットワークスは、こうした中国系のサイバースパイ集団を
長年調査している。
マクニカ社によれば、ブラックテックは2011年ごろから台湾を標的にした活動を展開し、17年ごろに日本を
狙うようになったという。この「17年」には、三菱電機でも今回のサイバー攻撃につながる奇妙な出来事が
起きていたことが後に判明する。ブラックテックがこれまで標的とした産業は、「海洋工学」「ITサービス」
「重工業」「重要インフラ」、そして「電機」だったという。まさに、三菱電機はブラックテックのターゲット
として、狙われるべ