T

A

B

L

E

O

F

C

O

N

T

E

N

T

S

ハイブリッド戦の観点から考えるディスインフォメーションの脅威とその対策

小原凡司

インタビュー……………………………………………………………………… 3

中国による情報操作戦の戦略・技術・手順を明らかにする

チェ・チャン（Che Chang）＋シルビア・イェ（Silvia Yeh）
TeamT5 脅威インテリジェンスチーム インタビュー……………………………………… 7
台湾の国際セキュリティ・カンファンスにオンラインで参加

HITCON2021 レポート… ……………………………………………………………………… 10●はじめに
本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. https://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただい
たことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2022. All rights reserved.

2

ハイブリッド戦の観点から考える
ディスインフォメーションの脅威とその対策

小原 凡司 インタビュー
取材・文＝斉藤健一
インターネットがインフラとして社会に浸透す重要となるとともに、戦争の手段も軍事的なものにるのに伴い、サイバー・セキュリティが扱う領域

限らず、非軍事的なものが多用されるとしたものだ。

は、従来の IT システムや情報資産の安全確保から、

グ レ ー ゾ ー ン で は、 サ イ バ ー 攻 撃 を は じ め、企業の経営戦略や国家の安全保障までをも包含す「ディスインフォメーション・キャンペーン」もることとなった。

盛んに行われるという。
ここでいうディスインフォメーションとは、社

サイバー攻撃というと、インターネットを通じた情報窃取やシステム破壊などをイメージすることが多い。しかし、インターネット上で情報操作を行い、国家の意思決定プロセスなどに影響を与えることも新たなサイバー脅威として認識されるようになってきた。
情報操作は、ディスインフォメーション（虚偽の情報）の流布によって行われる。今回は笹川平
和財団の小原凡司氏に、情報戦の観点からディス
インフォメーションについて話を伺った。
なお、インタビューは本年 2 月初旬に行われた。
そのため、2 月下旬に始まったロシアによるウクライナへの軍事侵攻について、具体的な言及はしていない。
ハイブリッド戦争とディスインフォメーション●小原凡司（おはら・ぼんじ）

インタビューの冒頭では、安全保障の専門家で1985 年 防衛大学校卒業、1998 年 筑波大学大学院（地域ある小原氏がディスインフォメーションの研究を研究修士）修了（修士）。1985 年に海上自衛隊入隊後、始めた経緯について、その前提となる部分から順

回転翼操縦士として勤務。2003 年～ 2006 年 駐中国防衛を追って説明していただいた。

駐在官。2006 年防衛省海上幕僚監部情報班長、2009 年

まずは、現代の軍事戦略である「ハイブリッド

第 21 航空隊司令、2011 年 IHS Jane’s アナリスト兼ビジ

戦争」について。これは、2013 年ロシアのゲラシ

ネス・デベロップメント・マネージャーを経て、2013 年

モフ参謀総長が論文の中で提唱した概念で、このに東京財団、2017 年 6 月より笹川平和財団上席研究員。

論文はゲラシモフ・ドクトリンとも呼ばれている。

単著・共著による著作も多数あり。最新刊は森本敏 元防衛大臣らと共同で執筆・編集にあたった「台湾有事のシ

21 世紀の戦争では、軍事衝突に至る前の、有事とナリオ」（ミネルヴァ書房刊）。

も平時ともつかない「グレーゾーン」での展開が3

会や公益への攻撃を目的とした害意ある情報を指ア半島で暴動が起こり始めた」と報じることとなす。ディスインフォメーション・キャンペーン自る。そして、ロシアはこれを介入の口実にしたの体は以前から使われてきた手法だが、近年では特にだという。

SNS などの発展により、より高度で、かつ効果的な

そのような暴動は実際には起きておらず、結果とキャンペーンが展開されるようになってきたという。

して欧米は偽情報に踊らされることとなった。ここうしたディスインフォメーション・キャンペー

れには、ウクライナに対する欧米の関心の低さとンを用いたサイバー攻撃に積極的なのが、ロシアいう当時の認識も関係していたと小原氏は分析すと中国だ。2016 年の米国大統領選でのロシアの介る。ただし、現在のウクライナ情勢では NATO な入工作や、2016 年・2020 年の台湾総統選での中国

どがサイバー・セキュリティやディスインフォメーの介入工作などが具体例として挙げられる。特にション対策の分野で支援を表明しており、2014 年

中国では、人の認知領域を新たな戦場空間としての時と比べて状況は改善されているという。

捉え、AI や量子コンピューティング技術などを取次に台湾の事例だ。厳密にいえば、中国が主体り入れた「智能化」への発展を加速させている。

であるという明確な根拠はないとされている。いディスインフォメーション・キャンペーンによる

くつか例を挙げると、総統選挙戦で報じられた蔡選挙介入や世論操作は、国家の意思決定への攻撃で英文氏の学歴詐称疑惑や民進党政権のコロナ禍対あり、安全保障上の観点から看過できない問題だ。

策への批判、コロナワクチンの安全性を疑問視す

そこで、小原氏は防御の観点からディスインフォメー

るもの、マスクと同じ原材料で生産される紙製品

ションの対抗策の研究をはじめたのだという。

の不足といったものなどがある。
また、キャンペーンでは、必ずしも親中派に有利な情報だけを流すというわけではない。台湾政ディスインフォメーションの特徴と事例

府への不満をあおるような情報を流す一方で、反小原氏にディスインフォメーション・キャン

中派を怒らせるような情報も流したり、反中派のペーンの特徴について伺った。キャンペーンの目

デモの中に人を送り込み、デモを暴徒化させ、新的は、社会を混乱させ、対立させ、衝突させるこ

中派・反中派、どちらにも与しない市民が反中派とにある。したがって、効果を高めるには虚偽のに嫌悪感を抱くように仕向けたりするのだという。

情報を流すだけではなく、社会の不安をあおるよ

ただし、台湾の場合は、ディスインフォメーショ

うな状況を作り出すことも重要だという。例えば、

ンを監視する機関やファクトチェックを行う組織

物資の不足を招く海上・航空の封鎖や、電気・水を設立し、ディスインフォメーションをいちはや道といったライフラインの供給停止などが挙げらく検知し、正しい情報をすぐに発信する対策を講れる。また、キャンペーンは、外国政府やその協じているという。また、メディアリテラシー教育

力者からのプロパガンダという形をとることが多にも力をいれており、ディスインフォメーションい。しかし、内部からの不満や怒りの声といったが社会の中で大きな影響を与えることはないとさ形の時の方が、人々の混乱の度合いが増し、暴動れている（ディスインフォメーション対策の詳細へと発展しやすくなると言われている。

は後述）。

2014 年のクリミア危機での事例を紹介する。
きっかけはディスインフォメーションだったとい

日本におけるう。ウクライナで起きた民主化運動（マイダン革

ディスインフォメーション対策

命）により親ロシア派のヤヌコーヴィチ大統領が失脚、ロシアへ亡命することとなった。広場では続いて、日本におけるディスインフォメーショ

市民が活気づいていたが、その中に親ロシア派、

ン対策について尋ねた。小原氏は、欧米やアジア

もしくはロシアから送り込まれた人間が「民主義各国と比較して、わが国の対策は進んでいないと的なデモから武装蜂起になった」とその場から英現状を語る。その背景には、日本語の特殊性が外語で発信した。これを欧米のメディアが「クリミ国からの攻撃を阻んできたことも関係していると4いう。日本語は文法が難しく、文章のささいな間違いであっても違和感を覚え、日本人によるもの
ではないと気づくことができる。
この言語の特性により、これまで、ディスイン
フォメーションの実質的な被害は抑えられてきたという。しかし、AI 技術の発展などにより、日本語の文書生成・機械翻訳のレベルは格段に上がっており、日本人が書くものと遜色がなくなりつつある。そのため、具体的なディスインフォメーショ
ン対策が、いま求められている。
笹川平和財団による政策提言
そのような中、笹川平和財団による「外国からのディスインフォメーションに備えを ! ～サイバー空間の情報操作の脅威～」という政策提言が発表された※。2019 年に発足した国内有識者による研究会がとりまとめたものだという。
笹川平和財団による政策提言「外国からのディスインフォ

この提言では、ディスインフォメーションを新メーションに備えを ! ～サイバー空間の情報操作の脅威～」

たなサイバー脅威として捉え、各国での事案を調査・分析するとともに、その対策についても、共通の指標を定めて国ごとの比較を行っている。

これらの指標に照らし合わせると、日本がクリ比較の対象は、米国・英国・EU・シンガポール・台湾・

アしているのは「行政府から独立したファクト

日本などだ。また、提言の中で示されている対策

チェック機関がある」という項目だけであり、比の指標は以下の通り。

較対象国の中で最も対策が遅れていることがわかる。これらの事実を踏まえ、下記の提言は対策指・ディスインフォメーションによる干渉を検知、針のクリアを促すものとなっている。なお、本稿

モニタリングする機関や制度はあるか？

では紙幅の都合から、各項目の詳述は割愛させて・選挙などの民主主義プロセスについて干渉がいただく。興味のある方は発表された提言の内容あったか否か調査し処罰する法律があるか？

を参照いただきたい。

・選挙インフラが重要インフラに指定されているか？

・ディスインフォメーション対策を行う情報収集

・選挙干渉行為に対し国家としてサイバー攻撃にセンターの設置

よる反撃、防御を行うことができるか？

・選挙インフラを重要インフラに指定

・選挙干渉などに関連しプラットフォーマーを規・情報操作型サイバー攻撃に対する積極的サイ制する法律があるか？

バー防御（Active Cyber Defense：ACD）実施

・ディスインフォメーション対策としてメディア

体制の整備

リテラシー教育を行っているか？

・政府とプラットフォーマーによる協同規制の取・行政府による／行政府から独立したファクト

り組みと行動規制の策定の推進

チェック機関があるか？

・メディアリテラシー教育環境の拡充※「外国からのディスインフォメーションに備えを！ ～サイバー空間の情報操作の脅威～」
政策提言本文 ：https://www.spf.org/global-data/user172/cyber_security_2021_web1.pdf
要旨集：https://www.spf.org/global-data/user172/cyber_security_2021_abstract_web.pdf

5

という。
ディスインフォメーション検知に資する

また、ハイブリッド戦という観点から見ると、システムの研究と今後の活動について

サイバー・セキュリティの各分野の連携や統合の必要性も感じているそうだ。例えば、ディスイン

当社では小原氏に監修いただき、ディスイン

フォメーションに対処する部署を作ったとしてフォメーション検知システムの開発を進めていも、それがサイバー・セキュリティの部署と分離る。残念ながら詳細をお伝えすることはできないされていたのでは意味がない。同様に、サイバー・が、小原氏の言葉をお借りして、その意義についセキュリティの部門が、衛星ネットワークや重要て簡単に触れておきたい。

インフラを管理する部門と分離されていたとした

小原氏によれば、SNS などで展開されるディら、それも意味がなくなってしまう。こうした連

スインフォメーション・キャンペーンではネット

携や統合のための仕組み作りについて大きな関心

ワークにハブとなる存在がいて、そこを起点に情を持っているという。

報が拡散される特徴があるという。そうした特徴
からキャンペーンを見つけ出すのがシステムの基

昨今、国際ニュースを見聞きする中で、ディス本的な設計思想だ。ただし、システムはあくまでインフォメーションに関連する話題が増えているも検知を支援するものであり、情報の真偽は人間ように感じる。例えば、新疆ウイグル地区での人が判断することとなる。

権侵害を否定する中国政府の主張や、ウクライナ

こうしたシステムにより早期にディスインフォ

国内で親ロシア派住民の安全が脅かされているとメーション・キャンペーンが発見できれば、ファク

いうロシア政府の主張などだ。前者は、国際社会

トチェック機関による調査や政府機関による正しいの批判をかわす中国政府の意図が見られるし、後情報の発信などに役立つはずだと小原氏は語る。

者は、ウクライナ侵攻を正当化するための大義名分として使われている。

最後に、今後の活動について伺った。小原氏はグレーゾーンの脅威への対処を研究テーマに据え

ディスインフォメーション対策の制定が求めらており、現在は、米国・東欧・台湾のシンクタン

れている日本にあって、小原氏の研究は大変に有クなどと、ディスインフォメーション対策の分野用だと感じた。引き続き、今後の動向に注目してで共同研究を進めている。安全保障の研究なので、いきたい。

いかに戦争を回避するかという視座が重要なのだ6

中国による情報操作戦の戦略・技術・手順を明らかにする

チェ・チャン（Che Chang）シルビア・イェ（Silvia Yeh）
Team T5 脅威インテリジェンスチーム インタビュー
取材・文＝斉藤健一

協力＝エル・ケンタロウ

今 回 は 台 湾 の セ キ ュ リ テ ィ 企 業、TeamT5 のチェ・チャン（Che Chang）氏とシルビア・イェ「公然の主体」の発信を（Silvia Yeh） 氏 に 話 を 伺 っ た。 サ イ バ ー 脅 威 イ「隠密の主体」が拡散する

ンテリジェンスのアナリストとして活躍する両氏は、活動の一環として国家主導による情報操

講演では、動画コンテンツ全盛時代における中作（InfoOps）を調査しており、その結果を CODE

国の情報戦を自国民向け・海外（主に英語圏）向BLUE や SANS Cyber Threat Intelligence Summit

けに分けて言及しているが、本稿では主に海外向といった国際会議の場で発表している。調査は長けの情報戦に絞って紹介したい。

期間継続され、その結果もアップデートされてい情報戦を展開する主体は、公然の主体（Overt

ることから、発表では回を重ねるごとに新たな洞

Actor） と 隠 密 の 主 体（Covert Actor） に 分 け ら

察が加えられている。

れるという。前者は中国政府とのつながりが明白

本稿では、2021 年 10 月に CODE BLUE で発表な存在で、国営メディアや各国の中国大使館などされた「クリップ中毒：動画を使った中国の情報を指す。一方、後者は中国政府とのつながりが直操作戦と脅威インテリジェンスに関する研究」に接的には見えない存在だ。政府に雇われたマーケ

ついて、彼らのインタビュー（2022 年 1 月下順

ティング企業やオピニオンリーダー、さらには外に実施）を交えながら、プレゼンテーションの内

国人ユーチューバーなどが含まれるという。

容を紹介する。

情報戦の流れは以下のとおりだ。まず、国営メディ
アがニュースやプロパガンダを発信する。この時ソーシャルメディアの武器化が点では有害な「偽情報」とは言いがたく、あくま

情報戦の新たな潮流にでも誤解を招くような「誤情報」の範ちゅうなのだという。TeamT5 の両氏はこうした情報を「ミスインフォメーション（Misinformation）」と呼ん

2016 年の米国大統領選では、ロシアを背景にでいる。

持つ主体（Actor）がソーシャルメディアを武器

国営メディアから発信された情報は、オピニオ

化して情報戦を展開し、大きな話題となった。
以 前 か ら APT に 関 す る 調 査 を 行 っ て き た

ンリーダーや海外ユーチューバー、さらには AI

TeamT5 の脅威インテリジェンスチームも、こうやボットによって自動生成されたコンテンツを通した情報戦の変化による影響をつぶさに感じ取っ

じ、歪められた偽情報として拡散されることとなてきた。2018 年頃から中国を背景に持つ主体が、る。彼らはこうした情報を「ディスインフォメー

ソーシャルメディアを通じて自国が意図する情報ション（Disinformation）」と呼んでいる。

を拡散し、他国の人々に対して影響を及ぼそうと
新疆ウイグル地区と香港の 2 つの事例する情報戦を展開するようになってきたというのだ。加えて、近年では動画コンテンツを活用した講演では「#StopXinjangRumours（新疆ウイグ

より大規模なものへと進化しているとも語る。
7

ル地区の噂を止める）」と「#PatriotGoverningHong

設。「愛国者治港（PatriotGoverningHongKong）」

Kong（愛国者統治の香港）」という 2 つのディスを掲げ、民主派の排除を目的に選挙候補者を親

インフォメーション・キャンペーンの事例が紹介

中派に限る改革を支持するキャンペーンを展開された。

した。すると、これに同調するオピニオンリー

まずは、新疆ウイグル地区の事例から。情報戦

ダーがハッシュタグ付きで発言、呼応するかのは YouTube、Facebook、Twitter、TickTok といっように大量のボットアカウントも現れた。その数たプラットフォームを横断する形で展開される。

は YouTube チャンネルで 5000 以上、Facebook、

少なくとも 20 の YouTube チャンネルで 180 本以

Twitter それぞれのアカウントでも 5000 以上に及上の動画が上記のハッシュタグ付きで投稿されてぶという。ボットアカウントは、国営メディアのいた。動画は新疆ウイグル地区での日常を紹介し、社説を切り取り、自動読み上げ（Text To Speech）

人権侵害は西側諸国によるねつ造だと非難するもで音声化した動画を次々と投稿した。

のが多い。中には数万ものチャンネル登録者数をTeamT5 の両氏によれば「専制主義国家の中国持つ外国籍のユーチューバーによる動画もある。

は、民主主義国家でソーシャルメディアがどのよ

そして、これらの動画を紹介する投稿がボットうに使われているのか、非常によく研究している」

によって大量に生成され、ソーシャルメディア上と語る。「例えば、ここ数年の例を見ても、人のにばらまかれる。投稿の多くは英語だが、中には興味を惹く動画の作り方や、ハッシュタグの使い

日本語で発信するボットアカウントも存在する。

方など、情報戦をより効率的に、より効力を発揮

また、新疆ウイグル地区に関するハッシュタグにするものに進化させようとする努力を怠らない」

加えて「＃母の日」といった一般的なタグを付けと中国の情報戦の進化を強調した。

て、より一層の拡散を狙うこともあるという。
情報戦調査の現状

続いて香港の事例を紹介する。こちらも先の事例と同様、複数のプラットフォームを横断する形で展開される。経緯は以下のとおり。人民日

プレゼンテーションから、ソーシャルメディア

報、新華社など国営メディアや親中派メディアがを用いた中国の情報戦はボットによる自動化が進

相次ぎソーシャルメディアで公式アカウントを開んでいることがわかった。ならば、調査の自動化●チェ・チャン（Che Chang）●シルビア・イェ（Silvia Yeh）

TeamT5 サイバー脅威インテリジェンスチームのアナリスト

TeamT5 サイバー脅威インテリジェンスチームのアナリスト。

であり、TeamT5 のインフォメーション・オペレーション・研究テーマは APT、OSINT、中国のサイバー政策、情報操作

ホワイトペーパーの共同執筆者。研究テーマは、アンダーグ

な ど。SANS Cyber Threat Intelligence Summit 2021、CODE

ラウンドの市場調査や国家主導の情報操作（InfoOps）が中心。

BLUE 2020 などの国際会議で発表を行っている。

SANS Cyber Threat Intelligence Summit 2021、CODE BLUE
2020、2020 年 4 月 vGCTF disinfo workshop、2019 Cybersec
in Taiwan などのスピーカーも務める。
8

は進んでいるのだろうか。この点について尋ねてまえると、「プラットフォーム企業と第三者であみると、意外にも「調査は手動だ」との答えがる研究者や組織とのコラボレーションがファクト

返 っ て き た。「Twitter、Facebook、Weibo な ど

チェックの課題解決につながる」と力説する。

複数のソーシャルメディアを横断的にクローリン

台湾にはいくつかのファクトチェック組織があ

グして、アカウント間の関連性を可視化するようり、2020 年の台湾総統選挙の時期には、報道機関

な統合ツールを作るのは困難だから」というのがなどとも連携して活動していたそうだ。TeamT5

その理由だ。TeamT5 では、現在 3 ～ 4 名の人員も短期間ではあるものの選挙期間中に他組織と共で調査を継続している。国営メディアの動向を注

同で活動したという。具体的には、疑わしいアカ視したり、疑わしいハッシュタグやボットがない

ウントが情報戦に関わっていないか、背景に何がか、常にネットワークを監視したりしているのあるかなど、OSINT（公然情報によるインテリジェ

だという。また、自動化の取り組みを進めるにンス）から調査・分析を行ったそうだ。

は、プラットフォーム企業の協力が不可欠だとも情報戦による脅威と今後の抱負語る。TeamT5 は香港の事例の調査において、香港在住の親中派議員自身のものとされるソーシャ
ルメディア・アカウントが、実はバングラデシュ

新疆ウイグル地区で人権侵害が行われているこなどの海外から投稿されていたことを突き止めてとも、香港で民主派が弾圧されていることも、西いる。この事実はソーシャルメディアの透明性レ

側諸国の一員である日本では、当然のこととしてポート（Transparency Report）から、ロケーショ

報道されている。それゆえ、中国による情報戦がン情報などのメタ情報が得られたからこそたどり

現地や海外でどれほどの影響をもたらしているの着けたのだという。

か、想像の及ばない部分が大きい。TeamT5 の両氏に情報戦の影響について尋ねた。彼らは、情報戦の成果や影響を定量化して語ることはできないとソーシャルメディアの透明性を保つためにしながらも、その影響は大きく 2 つあると語った。
プレゼンテーションの事例で紹介したハッシュ1 つは「ボットにより自動生成されたコンテン

タグ・アカウント・投稿などはすでに削除されてツが溢れてしまい、他の主張を掲げるコンテンツ

おり、現在では見ることはできない。Twitter やが埋もれてしまう」という点だ。これによって視Facebook などのプラットフォーム企業が、ソーシャ

聴者側に嫌気がさして動画コンテンツ離れが起

ルメディアの透明性を保つために、ファクトチェッ

こったり、先述のようにソーシャルメディアのコ

クや有害コンテンツの削除といった作業を独自で

ンテンツ管理チームが忙殺されたりすることが考行っているためだ。もちろん、これは評価に値す

えられ、ひいてはニュースの信頼性低下にもつな

るが、情報戦の終結を意味するものではない。あがる懸念があるという。
もう 1 つは、「オピニオンリーダーやボットにくまで表層的な部分の変化と捉えるべきだろう。
プラットフォーム企業のこうした取り組みにつよる過激なコメントに触発されて、一部の人の言いて、TeamT5 の両氏に意見を求めたところ、彼動が攻撃的になる」という点だ。人はソーシャ

らはファクトチェックの難しさを挙げた。「ボッルメディアから潜在的に多くの影響を受けておトによって大量に生成される有害コンテンツに対り、エンゲージメントだけを見ていればよいといして、現状ではプラットフォーム企業のコンテンうものではない。それが情報戦の脅威でもあるとツ管理チームが対応しきれていない」と指摘する。

TeamT5 では考えている。

「特に動画コンテンツに含まれるディスインフォ

ま た、 今 後 の 調 査 対 象 を 尋 ね て み る と、メーションを機械的に識別するソリューションが「COVID-19（新型コロナウイルス）の起源につい確立されていないことに加え、英語・中国語・日て調べるつもりだ」と語ってくれた。COVID-19

本語など各国の言語に精通した人材を用意する必に関して言えば、武漢起源説を否定し米国を批判要がある」ことも要因だと語る。また、現状を踏するスイス人研究者
9

のことを中国のメディアが盛んに喧伝していた時は同社 Web のニュースリリースに記載されてい期がある。その報道は各国の中国大使館によっるので、本稿では詳細は割愛する※。情報戦を仕て翻訳され世界中に拡散した。ところが昨年末掛けてきた主体は不明としながらも、TeamT5 がに、この人物は実在せず、顔写真も CG で作られこれまで調査を進めてきた主体と手法などが似たものだと判明した。上記の情報拡散の流れは、通っているという。このことは、TeamT5 の調査

TeamT5 が講演で紹介した中国の情報戦の手法との正しさを示すものではないかと筆者は考えてい一致している。今後の調査でどのようなことが判る。情報戦の主体は TeamT5 の存在を認識してお明するのか、世界がその結果に注目しているはずり、目障りだと警告してきたと受け取れるだろう。

だ。

攻撃は軽微なものであったので、TeamT5 氏の両氏も「先方からのあいさつが来た」という認識を最 後 に 余 談 だ が、 昨 年 秋、 驚 く べ き こ と に持っているのだという。こうした事情を知ると、TeamT5 自身がディスインフォメーションによるますます彼らの動向から目が離せなくなると思う誹謗中傷の対象となる事案が発生した。経緯などのだが。読者の皆さんはいかだだろうか。

※ 「当社に関する偽情報の流布及び誹謗中傷への対応について」
https://teamt5.org/jp/posts/clarification-on-malicious-disinformation-targeting-teamt5/y

10

台湾の国際セキュリティ・カンファンスにオンラインで参加

HITCON2021 レポート
文＝樋田拓也2021 年 11 月 26 日・27 日の 2 日間、台湾・台ロフェッショナルのスキルと挑戦することへの勇北で HITCON2021 が開催された。COVID-19 の感気を指す」というスローガンが掲げられている。

染状況を考慮し、国立研究機関の中央研究院を会

chr00t セキュリティグループによって始められた場とした対面開催（国内向け）と、オンライン配

このセキュリティ・カンファレンスには、セキュ信（国内・海外向け）を組み合わせたハイブリッ

リティやハッキングに興味を持つ人たちが一堂にド形式で行われた。初日の開幕式には台湾の蔡英会し、技術情報のみならず、ハッカー精神をも共文総統も出席したという。これは対中関係が緊迫有することで、交流を深めてきた。
本稿では、HITCON2021（2 日目）にオンライ化している台湾におけるサイバーセキュリティへンで参加した筆者が、聴講して興味を持った講演の関心の高まりを示すものだろう。

を簡単に紹介する（2022 年 2 月上旬執筆）。

HITCON の Web には「技術の側面から見れば正邪の区別はない。ハッカーという言葉は、プ

未承認の Exchange - 標的型エスピオナージから世界的なサイバー・パンデミックへ An Unauthorized Exchange - From Targeted Espionage to a Global Cyber Pandemic
VOLEXITY 社／スティーブン・アデール（Steven Adair）氏

速に対応できたのだそうだ。

VOLEXITY 社は、デジタル・フォレンジックとインシデントレスポンスに特化した企業で、フォ

この脆弱性を悪用した攻撃では、Web シェルを設置

レンジックソフトウェアの販売も行っている。

するものだけではなく、ビットコインのマイニングやランサムウェアを使用する攻撃もあったという。

本セッションでは、2021 年 3 月にパッチが公開された「Microsoft Exchange Server」のぜい弱

ゼロデイ攻撃では、その痕跡が確認された時点性に関して、国家が関与したとされる攻撃を調査においては、ベンダーからの情報も少なく、対応した際に得られた情報や知見が発表された。

策もわからない。攻撃者の情報や IoC などの情報

VOLEXITY 社 で は、 パ ッ チ 公 開 以 前 の 2021 年 1

収集にも苦労することが多い。ただ、講演での事

月には、この脆弱性を突いた IoC（Indicators of

例のように、初期の調査段階で得られた IoC 情報

Compromise：侵害の痕跡）を確認していたそうで、をいち早く活用することができれば、その後の調メモリフォレンジック、ファイルアーティファク

査や攻撃の検知にも役立てることができる。日々ト（pagefile、$MFT、event logs、registry、hive 他）の情報収集の大切さを改めて感じさせられる内容などから調査を実施していたとのこと。

だった。

その後、2 例目となるインシデントが確認された

なお、VOLEXITY 社のブログにて発表内容の一部

際は、1 例目の調査で取得した IoC を用いて感染のが公開されているので、興味のある方はそちらも痕跡を確認し、調査を進めることができたため、迅ご覧いただきたい。

・ブログ記事：Operation Exchange Marauder: Active Exploitation of Multiple Zero-Day Microsoft Exchange Vulnerabilities
https://www.volexity.com/blog/2021/03/02/active-exploitation-of-microsoft-exchange-zero-day-vulnerabilities/11デジタル ID カードのセキュリティ分析に関する経験の共有と提言
數位身分識別證的安全分析經驗分享與建議
国立台湾大学／シチョウ・シャ（Shi-Cho Cha）氏ト（e パスポート）で採用されているそうだ。

スマートカードの規格や分析方法をはじめ、

なお、MRTD の規格は、ICAO Doc 9303 で定義

チップ付きパスポートと関連するセキュリティプ

されている。

ロトコルなどが紹介され、その分析に必要な方法

また、台湾の国民身分証の eID カードに関して論やアイデアなども披露された。
講 演 で は、 オ ー プ ン ソ ー ス で 実 装 さ れ たも、Common Criteria の基準や、公開データ領域、「JMRTD」が紹介されていた。「JMRTD」は、国際暗号化データ領域などに含まれる情報も紹介され民間航空機関（ICAO）によって指定された機械可

るなど、さまざまな規格の情報が共有されること

読旅行文書（MRTD）規格の オープンソースで、となった。

Java で実装されており、多くの国の電子パスポー
・JMRTD: An Open-Source Java Implementation of Machine Readable Travel Documents
https://jmrtd.org/
・ICAO Doc 9303
https://www.icao.int/publications/pages/publication.aspx?docnum=9303
・講演スライドhttps://hitcon.org/2021/agenda/8aedb710-ac21-4f0d-96b9-0a4837c2af1b/%E6%95%B8%E4%BD%8D%E8%BA%AB%E5%88%86%E8%AD%98%E5%88%A5%E8%AD%89%E7%9A%84%E5%AE%89%E5%85%A8%E5%88%86%E6%9E%90%E7%B6%93%E9%A9%97%E5%88%86%E4%BA%AB%E8%88%87%E5%BB%BA%E8%AD%B0.pdf

Winnti がやってくる - 訴追後の進化
Winnti is Coming - Evolution after Prosecution
Team T5 ／アラゴーン・ツェン（Aragorn Tseng）氏、チャールズ・リー（Charles Li）氏
ピーター・シュウ（Peter Syu）氏、トム・ライ（Tom Lai）氏APT41、別名 Winnti（TeamT5 による呼称）は、

象ネットワークへの侵入手法、設置するバックド

中国に背景を持つ攻撃主体であり、2020 年には米アなど一連の流れが解説された。また、ログによ国 FBI によって起訴されている。講演では、起訴後

る侵入痕跡の調査もあわせて紹介されている。
他にも、マルウェアがメモリフォレンジックをも活動を続けている Winnti に関して、攻撃の対象回避するための手法や、CDN を用いて C2 インフや手法とった技術情報の詳細が発表された。
2021 年、Winnti は各国の通信企業・主要医療

ラの IP アドレスを秘匿する方法など、攻撃キャン

機関・政府・重要インフラを攻撃対象としている

ペーン全体にわたる詳細な情報が惜しみなく提供

ことが、Team T5 の調査によって判明している。

された。

攻撃に使われる技術や手法は進化しており、リ

発表資料には IoC も公開されており、Winti のサーチャーが追跡して検知することを困難にしてTTPs（戦術・技術・手順）を知りたい人には非常いるという。

に参考になる発表であった。

講演では、Winnti が攻撃に使用する脆弱性、対・講演スライドhttps://hitcon.org/2021/agenda/1abeaad2-5152-4468-91ac-d50a39dd7834/Winnti%20is%20Coming%20-%20Evolution%20after%20
Prosecution.pdf

12

空挺の危機：クラウドをめぐる二転三転の攻防
空降危機：雲端攻防二三事
ボイク・スー（Boik Su）氏、ダンジ・リン（Dange Lin）氏

がら攻撃手法の分析が行われた。

講演はクラウド全盛期における情報セキュリ
ティの問題点をレッドチームの視点から探ってい

また、後半では、認証情報の窃取（Credentials

く。導入部分では、クラウドサービスの責任共有

Harvest）、 横 方 向 展 開（Lateral Movement）、 権

モデルや CSA（Cloud Security Alliance）を紹介す

限昇格（Privilege Escalation）などの攻撃手法がるとともに、クラウドにおける脅威を、3 つのカグラフィカルに紹介されていた。

テゴリー「1. ID 境界」「2. ネットワーク境界」「3.

リモートワークが進む中で、クラウドサービス

ホストされているアプリケーション（サービス）」

を利用する機会が多くなっているが、CSA などのに分け解説した。中盤では、この脅威に沿って代ベストプラクティスを参考に、脅威に対して適切

表的な 3 つのクラウドサービス、AWS、Azure、に対応する必要性があることを改めて感じた。

GCP（Google Cloud Platform）での事例を交えな・講演スライドhttps://hitcon.org/2021/agenda/d90156b6-1714-4162-804a-3f9a951c213b/%E7%A9%BA%E9%99%8D%E5%8D%B1%E6%A9%9F%EF%BC%9A%E9%9B%B2%E7%AB%AF%E6%94%BB%E9%98%B2%E4%BA%8C%E4%B8%89%E4%BA%8B.pdf

リティカンファレンスは現地で参加してこそ、そ
全体のまとめの楽しさがあると感じている。

HITCON の YouTube チャンネルでは講演の動画

ンスが開催されているが、現地参加できないもども公開されている。講演の詳細を知りたい方や、

かしさがある。おそらく皆さんも同じ気持ちを抱

HITCON の雰囲気を知りたい方などは、是非ともいているのではないだろうか。

ここ数年、オンラインでさまざまなカンファレ

来年度、COVID-19 が沈静化し、国際的な往来ご覧いただきたい。

が復活した時には、再び台湾を訪問し多くの方々

筆者は、過去に、現地でのトレーニングを受講と交流したいと願っている。

したことがあるが、その経験からすると、セキュ・HITCON の YouTube チャンネル

https://hitcon.org/2021/agenda/d90156b6-1714-4162-804a-3f9a951c213b/%E7%A9%BA%E9%99%8D%E5%8D%B1%E6%A9%9F%EF
https://www.youtube.com/channel/UCjW91GWKraCfWuKLGonq1vw

13