経団連へのサイバー攻撃（後編）

　APTチームは上記のようにいろいろなツール、ネットワーク、侵入手段、ウィルス等を駆使するが、これらを全く新しく作るわけではない。多くの環境は「使いまわし」をする。これは普通のICT関連開発プロジェクトでしているのと同じだ。IPアドレスのような直接的なものでなくても、プログラムの書き方ツールの選び方や使う順番など、やっている人間とかチームの特徴はそこかしこに残る。以前APT10が攻撃してきた事例は、いくつか記録されている。

 

　経団連への攻撃の前記８段階のうちで、同じIPアドレスから発信されていたり、似たようなツールの痕跡があったり、ウィルスのサンプルと一致したりすれば、この記事のようにAPT10のしわざと疑うことが出来る。こういう手法を「アトリビュート」というらしい。記事には英国のBAEシステムズやPwCコンサルティングがAPT10特定に一役買ったとある。007ではないが英国の諜報機関は今でもかなりの力を持っていて、特に昨今はこれらの企業の力も借りてサイバーセキュリティの世界で存在感を示している。

 

　APT10追跡にあたっても、英国政府NCSCは上記２社の協力をえてAPT10が行っている「Operation Cloud Hopper」に関する報告書を2017年の時点で公表している。その後攻撃の実行犯と思しき集団の行動を分析、彼らの攻撃インフラが天津のIPアドレスにあることも昨年８月に公表している。

　　　　

　その結果昨年末には米国司法省がAPT10のメンバーのうち２人の中国人の名前を特定しが司法訴追をしたわけだ。このように英米中心のの「中国包囲網」は徐々に完成しつつあるのかもしれない。ひとつ気になるのは、2016年の経団連の事件がなぜ今年記事になったかと言うこと。ここにあるような「アトリビュート」結果を出すのは昨年の早いうちにできていたはずで、誰かが意図してリークしたとしたら、それは今と言うタイミングに意味があったことになる。

　今年はG20の議長国が日本で、B20のとりまとめは経団連中心だった。多くの議論がなされ、表に出た以上の論議があったはずだ。その過程で情報が抜かれていた、ということはないのだろうか？今年初めの記事は、誰かが日本の産業界に宛てた警告だったのかもしれませんね。