米司法省・FBI、中国政府受託業者「インテグリティ・テック」のハッキングツール関連7ドメインを押収…台湾の大学約20校で被害確認

米司法省と連邦捜査局（FBI）は、中国政府と契約を結ぶ中国拠点の業者「Integrity Technology Group（以下、インテグリティ・テック）」が運用してきたハッキングツール2種のアクセス経路を遮断した。押収されたインターネットドメインは7件。同日、国家安全保障局（NSA）、FBI、サイバーセキュリティ・インフラセキュリティ庁（CISA）および同盟国の機関は、同社と連携するハッカーの手口をまとめた共同サイバーセキュリティ勧告（CSA）を発表した。

今回の措置は個人に対する起訴発表ではない。ドメイン押収の根拠はペンシルベニア州西部連邦地裁で公開された裁判所文書であり、司法省はその文書の内容を確定した事実ではなく「申し立て（as alleged）」と表現している。司法省は米東部時間2026年10月8日（韓国時間10月9日）の報道発表資料で、「裁判所の承認を得た押収を通じて、悪意あるサイバーアクターが『Microscan（マイクロスキャン）』と『FishHub（フィッシュハブ）』という2つのハッキングツールへアクセスできないようにした」と明らかにした。司法省はこれらのツールが「米国および外国の重要インフラシステムをスキャンし、一部の場合はハッキングするために使われた」と説明した。司法省はインテグリティ・テックが「中華人民共和国政府と契約を結んでいる」と記した。

FBIサイバー部は公式Xアカウントで、「FBIと司法省がサイバー脅威グループ『Flax Typhoon（フラックス・タイフーン）』の使用していたハッキングツールを無力化した」とし、「複数のドメインを押収し、米国の重要インフラをスキャンして一部に侵入するために使われたプラットフォームへのアクセスを遮断した」と明らかにした。

https://x.com/FBICyberDiv/status/2108256413084422599

何が変わるのか

今回の措置が重要である理由は、米政府が中国のハッキングを「国家主導のハッカー」だけでなく、政府と契約する民間業者単位で追跡し、機器を遮断している点にある。先例は2024年9月だ。司法省は当時、インテグリティ・テックが運用していたMirai（ミライ）マルウェアボットネットを裁判所の承認のもとで無力化したと発表した。司法省はそのボットネットが「米国および全世界の消費者向け機器20万台以上」で構成されていたと明らかにした。今回の押収は、司法省が明らかにしたインテグリティ・テックのハッキングインフラに対する「2度目の公の技術的無力化」となる。

2つのツールは何を行っていたか

司法省が公開した裁判所文書によると、インテグリティ・テックはMiraiの亜種に感染したモノのインターネット（IoT）機器でボットネットを構築して使用していた。

• Microscan（マイクロスキャン）: インテグリティ・テックが開発した偵察・脆弱性スキャンツール。司法省は同社の「顧客」が後で悪用するための脆弱性を探すために使用したと明らかにした。司法省が公開したスキャン対象には、サウスカロライナ州の米国の電力会社、多国籍非政府組織（NGO）、日本とポーランドの空港、台湾の天然ガス・電力分野のインフラ企業、台湾の大学2校が含まれている。インテグリティ・テックは押収されたドメインの一つであるc0cc[.]ccを通じてMicroscanにアクセスしていた。
• FishHub（フィッシュハブ）: 標的型フィッシング（スピアフィッシング）ツール。司法省によると、初期侵入後に追加のマルウェアをダウンロードさせ、このマルウェアはリモートからの不正アクセスを可能にしたり、特定のファイルを探してインテグリティ・テックの制御サーバーに送信したりした。司法省が明らかにした確認済みの被害者には「約20校の台湾の大学」が含まれる。押収されたドメインのうち5件（98aicai[.]com、98aicode[.]com、outlook3650[.]com、youtubecard[.]com、linkedinns[.]net）がこのマルウェア配布に使用されていた。

ペンシルベニア州西部地区連邦検察の報道発表資料は、残る1件のドメインが被害者ネットワークをインテグリティ・テックのサーバーに接続する不正なリモート管理ソフトウェアと関連していたと明らかにした。

FBIサンディエゴ支局は今回の捜査を自らが主導したとXアカウントで通知した。

https://x.com/FBISanDiego/status/2108252514365653376

NSA勧告：「被害分野は広範」

NSAは同日の報道発表資料で、共同勧告のタイトルが「中国政府連携サイバー脅威アクター、自動・手動ハッキングツールを組み合わせて機微データを窃取」であると明らかにした。NSAは勧告の内容を引用し、インテグリティ・テックが「中国政府と連携する脅威アクターが政府のサービス・施設、重要製造業、医療・公衆衛生、情報技術など複数の分野の米国および外国の組織ネットワークを悪用できるようにした」と説明した。標的には米国の法執行機関・教育機関・宗教団体のほか、東南アジア・アフリカ・北米の組織も含まれていたとNSAは明らかにした。

NSAサイバー公式アカウントも「インテグリティ・テックは中国政府連携脅威アクターが世界中の組織ネットワークを悪用し、重要データを窃取できるようにした」と投稿した。CISAもFBIとともに勧告を発行したとXアカウントで告知した。

https://x.com/NSACyber/status/2108259285318635667 https://x.com/CISAgov/status/2108251840802365869

呼称に関してNSAは、これらの一部が業界で「Flax Typhoon」、「Storm-0919」、「Ethereal Panda」、「RedJuliett」と呼ばれる手口と一致していると明らかにした。これは民間セキュリティ業界が付けた呼称であり、米政府は「一部（some）」と範囲を限定している。

当局者の談話

ジョン・アイゼンバーグ司法次官補（国家安全保障担当）は、「米国は中国やその代理人がサイバー空間において米国の利益に反して何の処罰も受けずに活動することを放置しない」と述べた。司法省国家安全保障部もこの発言を公式Xアカウントに掲載した。

ペンシルベニア州西部地区連邦検察のトロイ・リベッティ（Troy Rivetti）連邦検事は、「今回の押収は、2年の間で2度目となるインテグリティ・テックの大規模作戦の無力化だ」と述べた。FBIサイバー部のブレット・レザーマン（Brett Leatherman）副部長は、「中国は悪意あるサイバー活動の範囲と規模を拡大するために、受託業者や支援業者に依存している」とし、「こうした協力者を暴き無力化することで、中国が米国のネットワークやインフラを標的にすることを困難にする」と述べた。

共同勧告AA26-281Aが明かした攻撃手順

同日公開された共同サイバーセキュリティ勧告の正式な識別番号はAA26-281Aだ。作成機関はFBI・CISA・NSAに、英国国家サイバーセキュリティセンター（NCSC-UK）、オーストラリア信号機全局傘下のサイバーセキュリティセンター（ASD ACSC）、カナダ・サイバーセキュリティセンター、日本警察庁および内閣サイバーセキュリティセンター、ニュージーランド国家サイバーセキュリティセンター、スペイン国家情報局（CNI）が加わった国際共同名義である。勧告は、分析の出発点がFBIのインテグリティ・テックに関する複数の捜査で確保・観測された技術的証拠であると記している。司法省のドメイン押収が刑事・裁判手続き側の措置であるとすれば、この勧告は同一の捜査から得られた侵害指標（IoC）や手口を防衛者に配布する技術文書に該当する。

勧告がまとめた偵察段階は司法省の報道発表資料よりも具体的である。攻撃者はBBScan、dirsearch、Fscan、ksubdomain、masscan、NMAP、OneForAll、ShuiZe、wpscanといった公開スキャンツールを使用して、ネットワークやウェブアプリケーションの脆弱性を探索したと記されている。主に調査されるポートは21番（FTP）、22番（SSH）、53番（DNS）、80番（HTTP）、443番（HTTPS）、1080番（SOCKS）だ。Microscanについては2017年頃から使用され、Pythonベースのウェブアプリケーション内に特定脆弱性を探すためのペネトレーションテストスクリプトが1,300以上含まれていたと勧告は明らかにしている。スクリプトが対象としたサービスには、OpenSSL、Oracle WebLogic、Rejetto、WordPress、Juniper ScreenOS、Jenkins、Apache Strutsが含まれていた。

初期侵入と持続の手法も段階別に記されている。勧告によると、攻撃者がJavaScriptとHTMLを用いたクロスサイトスクリプティング（XSS）攻撃によりユーザー名とパスワード入力欄を表示させ、認証情報を窃取するペイロードをFBIが回収したという。もう一つのツールであるEBurstは、Microsoft Exchange Serverに対してパスワードスプレー攻撃とパスワード推測を実行し、Exchange管理センター（ECP）、Exchange Web Services（EWS）、オフラインアドレス帳（OAB）、Outlook Web Access（OWA）など10のインターフェースを攻撃経路として使用すると記されている。侵入後には正規のVPNソフトウェアであるSoftEtherのインストーラを被害端末にダウンロードして起動時に自動再接続するよう設定し、ファイル名をconhost.exeやdllhost.exeのような一般的なWindows実行ファイル名に変更して検知を逃れようとしていたというのが勧告の分析だ。

データ収集段階では、DC.exeというファイルがActive Directory（AD）の複製技術であるDCSyncを実行し、アカウント認証情報、グループ構成、信頼関係情報をコピーしたと勧告は説明している。PHPスクリプトのCurlc4.txtはMicrosoft EWS APIにアクセスしてメールや予定表、連絡先などのコンテンツを取得し、圧縮またはRC4あるいはAES-128-CBCで暗号化した後、リモートサーバーへアップロードする構造であったと記された。office-cliというコマンドラインツールは、Outlook 365アカウントへ反復アクセスし、期間別のメールを窃取するために使用された。勧告はメールデータ窃盗の確認事例に東南アジアの政府組織、法執行機関、医療システム、宗教機関が含まれ、一部の事例では窃取データへのアクセスが中国のアモイ（厦門）からのIPアドレスのみに制限されていたとも記している。この詳細な手口は司法省の報道発表資料における「FishHub」の説明を補完するものであるが、台湾の大学約20校という確認済み被害規模を勧告のすべての事例に拡大して解釈すべきではない。

防衛者が直ちに点検すべきと勧告された項目

勧告の防御ガイドラインは一般的な注意喚起にとどまらない。作成機関は、使用していないサービスとポートを停止し、ログインページやバナーが外部リクエストに対して露出する情報を最小限に抑えるよう勧告している。ウェブアプリケーションの入力値検証によってXSSペイロードの挿入を防ぎ、ウェブメールやVPN、基幹システムへのアクセスアカウントを中心に全サービスへ多要素認証（MFA）を適用する項目も明記された。初期設定のパスワードを強固なパスワードに変更し、管理者権限アカウントを制限・監査して最小権限の原則を適用するというガイドラインや、ブラウザのダウンロード・ドメイン評判検査および保護DNSを有効化するガイドラインも併記されている。

パッチ項目では、実際に悪用が成功した事例として確認された脆弱性8件が一覧表で提示された。CVE-2014-6278、CVE-2015-3306、CVE-2015-5477、CVE-2016-3081、CVE-2019-11510、CVE-2021-22205、CVE-2021-3199、CVE-2023-22894である。勧告は、このうち一部がCISAの「既知の悪用された脆弱性カタログ（KEV）」に新たに追加された項目であると示している。検知面では、正規のシステムツールを悪用する「環境寄生型（living-off-the-land）」手法の不正使用の兆候、予期せぬAD複製、異常なスキャンやアップロードのトラフィック、勤務時間外のログインや物理的に不可能な同時アクセスを監視するよう記されている。復旧計画としては、機微データとサーバーの複製を物理的に隔離されセキュリティが適用された場所に複数保管し、オフラインバックアップの複製にパスワードを設定する項目が含まれている。

侵害が疑われる場合の手順も勧告に記されている。感染が確認されたホストを隔離またはオフライン化し、ログやアーティファクトを収集して攻撃者の手口や感染範囲、活動タイムラインを特定したうえで、国別のガイドラインに従って通報し、排除対策を適用してネットワークを強化するという流れだ。米国の組織に対する通報窓口としては、FBIインターネット犯罪苦情センター（IC3）、管轄のFBI支局、CISA 24時間運用センター（contact@cisa.dhs.gov、1-844-Say-CISA）が提示された。NSAのサイバーセキュリティ案内に関する問い合わせ先はCybersecurityReports@nsa.govである。韓国の機関はこの勧告の直接の通報対象としては記載されていない。

2024年のボットネット無力化と今回の押収の違い

2024年9月18日、司法省は裁判所の承認を受けた作戦により、米国および世界中の消費者向け機器20万台超からなるボットネットを無力化したと発表した。当時の感染機器は小規模・ホームオフィス（SOHO）向けルーター、IPカメラ、デジタルビデオレコーダー（DVR）、ネットワークアタッチトストレージ（NAS）であった。司法省は、インテグリティ・テックが「KRLab」というブランドを冠したオンラインアプリケーションで感染機器を操作し、その内部の「vulnerability-arsenal（脆弱性武器庫）」というツールで悪意あるコマンドメニューを提供していたと記した。裁判所承認の作戦は、ハッカーのインフラを掌握した後、そのインフラを通じて感染機器のマルウェアに無効化コマンドを送信する方式であり、作戦中にFBIの復旧基盤を標的とした分散型サービス拒否（DDoS）妨害の試みがあったものの失敗に終わったと司法省は明らかにした。

今回の2026年の措置はその続報にあたるが、手法が同様というよりは対象が絞り込まれている。2024年は感染した消費者向け機器自体にコマンドを送信してボットネットの接続を遮断することが中心であり、FBIはコマンドが機器の正常な機能を損なわずコンテンツ情報を収集しないよう事前テストを経ており、米国内の機器所有者にはインターネットサービスプロバイダを通じて通知すると明らかにしていた。2026年はMicroscanアクセス用ドメイン1件、FishHub関連ドメイン5件、リモート管理接続用ドメイン1件など、ツールへのアクセス経路7件を押収することに焦点が当てられた。公訴を担当する検察官はペンシルベニア州西部地区連邦検察のブレンダン・マッケナ連邦検事補と司法省国家安全保障部国家安全保障サイバー課のジャック・シンガー＝エメリー公判検事であり、メリーランド地区連邦検察のトーマス・サリバン検事補と日本の警察庁が相当な支援を行ったと司法省は記している。FBIサンディエゴ支局のマーク・レミリ（Mark Remily）特別捜査官も「法執行パートナーとともにすべての捜査権限を総動員する」との談話を発表したが、これは本文冒頭に引用したリベッティ連邦検事やレザーマン副部長の発言とは別に、地区検察・本部の報道発表資料に掲載された現場支局長の立場である。

中国と台湾、そして韓国

司法省・NSAの資料には中国政府やインテグリティ・テックの反応は含まれていない。両機関が公開した資料には相手側の立場は記載されていない。司法省が公開した標的・被害リストに韓国の機関は含まれていない。ただし、日本の警察庁が捜査に「多大な支援」を提供した機関として司法省の報道発表資料に名を連ねており、日本の空港がスキャン対象に含まれていた。

今後の展開

司法省はFBIの宣誓供述書（affidavit）と差押令状を公開した。捜査はFBIサンディエゴ・ボルチモア支局とFBIサイバー部が担当し、公訴はペンシルベニア州西部地区連邦検察と司法省国家安全保障部国家安全保障サイバー課が担当する。司法省は今回の発表で個人の起訴については言及していない。ネットワーク管理者は共同勧告の侵害指標（IoC）と照合して自主点検を行うことができる。

出所

• 米司法省広報室 報道発表資料、2026年10월8日: https://www.justice.gov/opa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools-operated
• 米司法省ペンシルベニア州西部地区連邦検察 報道発表資料、2026年10월8日: https://www.justice.gov/usao-wdpa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools
• 米国家安全保障局 報道発表資料、2026年10월8日: https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4622576/nsa-joins-fbi-and-others-to-provide-guidance-to-mitigate-chinese-government-lin/
• CISA・FBI・NSAなど共同サイバーセキュリティ勧告AA26-281A、2026年10월8日: https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a
• 米司法省広報室 報道発表資料、2024年9월18日（インテグリティ・テック ボットネット無力化）: https://www.justice.gov/archives/opa/pr/court-authorized-operation-disrupts-worldwide-botnet-used-peoples-republic-china-state
• 本文に引用したXの投稿はいずれも政府機関の公式アカウントによる投稿である。