米司法省とFBIは2026年10月8日(米国時間)、中国の企業 Integrity Technology Group(以下、Integrity Tech)の関係者が運用した攻撃ツール「Microscan」と「FishHub」について、関連する7つのドメインを裁判所の令状にもとづいて押収したと発表しました。公開された裁判書類には、Microscan で脆弱性を調べられた先として、日本の空港も載っています。同じ日に出た共同勧告とあわせて、日本の会社が確かめることを整理します。
米司法省とFBIが発表したこと
司法省によると、Integrity Tech は中国を拠点とする会社で、中国政府と契約しています。同社の関係者は、セキュリティ会社が「Flax Typhoon」と呼ぶ攻撃活動の一部として、2つのツールを運用していました。
米司法省が10月8日に出した、攻撃ツールのドメイン押収の発表出典: 米司法省 Office of Public Affairs(引用)
| 項目 |
公式の発表・資料の内容 |
| 発表 |
米司法省・FBI(2026年10月8日) |
| 押収したもの |
7つのドメイン。令状はペンシルベニア州西部地区の裁判所が10月6日に出した |
| 運用した会社 |
Integrity Tech(北京の会社。司法省は中国政府と契約していると説明) |
| 日本の関わり |
日本の警察庁が捜査に大きく協力したと、発表に明記 |
| これまでの措置 |
2024年9月に同社のボットネット(20万台超の機器)を無力化。2025年1月に米財務省が同社を制裁 |
ボットネットは、乗っ取った機器をまとめて操る仕組みです。共同勧告は同社を「中国政府とつながりのある営利企業」と書き、社員が攻撃ツールを作ったり手に入れたりして、使い、売っていると説明しています。
The PRC relies on contractor and enabling companies to expand the reach and scale of its malicious cyber activity.
出典: 米司法省の発表(2026年10月8日)
FBIサイバー部門のブレット・レザーマン氏の言葉です。中国は、請負や支援をする会社を使って、攻撃の規模と範囲を広げていると述べています。
2つのツールは何をしていたか
司法省は、Integrity Tech が Microscan を「顧客が後で悪用する弱点を探すため」に開発したと説明しています。顧客が具体的に誰かは、発表には書かれていません。
| ツール |
司法省・裁判書類・共同勧告の説明 |
| Microscan |
標的のネットワークの脆弱性を調べる偵察用のツール。乗っ取ったIoT機器のボットネットを経由して、調べる元を隠すこともあった。共同勧告は、2017年には使われており、1,300を超える検査用スクリプトを持つとしている |
| FishHub |
標的型メール(スピアフィッシング)で侵入した後、追加の不正プログラムを送り込むツール。遠隔操作を可能にしたり、特定のファイルを探して同社のサーバーへ送ったりした。被害が確認された中に台湾の大学約20校 |
| 遠隔管理ソフト |
7つ目のドメインは、無断で入れた遠隔管理ソフトで被害者のネットワークを同社のサーバーにつなぐのに使われた。裁判書類はこのソフトを SoftEther としている |
共同勧告によると、Microscan の検査用スクリプトは、OpenSSL、Oracle WebLogic、WordPress、Juniper ScreenOS、Jenkins、Apache Struts などを狙っていました。
日本の空港は「偵察」の対象だった
FBIの捜査官が令状を求めて裁判所に出した宣誓供述書によると、Microscan は2022年4月26日ごろから12月29日ごろ、次のネットワークの脆弱性を調べていました。米サウスカロライナ州の電力会社、多国籍の非政府組織、日本とポーランドの空港、台湾の天然ガス・電力の重要インフラ企業(少なくとも2社)です。
FBIの宣誓供述書の32項。日本とポーランドの空港への偵察の記載出典: 米司法省が公開した裁判書類(FBI捜査官の宣誓供述書、Magistrate No. 26-1564)(引用)
書類が日本について述べているのは、空港のネットワークを調べた(スキャンした)ことまでです。どの空港か、侵入されたかどうかは書かれていません。一方、台湾の大学2校は、Microscan で調べた後に侵入されたと書かれています。
同じ日に出た共同勧告とIoCの入手先
押収にあわせて、FBI、CISA、NSAと各国の機関が共同勧告「AA26-281A」を出しました。米英豪加、ニュージーランド、スペイン、日本の7か国の10機関によるものです。日本からは警察庁と国家サイバー統括室が署名し、10月9日に公表しています。
勧告に書かれた手口のうち、情シスが自社で確かめやすいものは次のとおりです。
- 公開されたポート(21・22・53・80・443・1080)を、オープンソースの道具で調べる
- Exchange(Microsoft 365 を含む)のメールアカウントに、OWA・EWS・ActiveSync などの窓口からパスワードスプレー(よくあるパスワードを多くのアカウントに試すこと)をかける
- 侵入後に正規のVPNソフト SoftEther を入れ、起動時に自動で再接続させる。ファイル名を conhost.exe や dllhost.exe にして Windows の部品に見せかける。正規のソフトのため、検知されにくいとしている
勧告の付録Bには、悪用に成功した脆弱性が8件載っています。VPN機器の Pulse Connect Secure(CVE-2019-11510)、GitLab(CVE-2021-22205)、Apache Struts(CVE-2016-3081)など、2014〜2023年に公表された脆弱性です。うち5件は、CISAの悪用が確認された脆弱性の一覧(KEV)に新しく加わりました。
IoC(侵入の痕跡となるドメインやIPアドレスなど)は、CISAの勧告のページからSTIX形式(JSONとXML)で入手できます。PDFの付録Aにも一覧があります。2016年からの古いものも含むため、勧告はブロックする前に確かめるよう求めています。英国側の発表は英NCSC、中国関連の情報窃取に警告、企業は攻撃手法と緩和策を確認で伝えています。
影響する会社・しない会社
- 影響する: 空港・電力・ガスなど、裁判書類や勧告で標的として挙がった分野の会社と、その委託先・取引先です。
- 影響する: VPN機器、Webサーバー、メールサーバー、GitLab、Jenkins など、インターネットから見える機器やサービスを持つ会社です。
- 影響する: Exchange や Microsoft 365 のメールで、多要素認証を使っていないアカウントが残っている会社です。
- 影響しない: 勧告の8件の脆弱性は、いずれも修正版が出ています。修正済みの版の機器やソフトは、その8件の対象ではありません。ただし、Microscan は1,300を超える検査を持つため、ほかの脆弱性の確認は続けます。
情シスが今日やること
- 公開している機器とサービスを一覧にする。 VPN機器、Webサーバー、メール、GitLab・Jenkins などを、委託先が運用するものも含めて書き出します。使っていないポートやサービスは閉じます。勧告は、ログイン画面などで外に出す情報を最小にすることも求めています。
- 8件の脆弱性と、版・サポート期限を照らし合わせる。 一覧の機器とソフトの版を、勧告の付録Bの表と比べます。サポートが終わったVPN機器が残っていれば、入れ替えの期限を決めます。
- メールとVPNの多要素認証を確かめる。 勧告は、Webメール、VPN、重要なシステムに入るアカウントを名指ししています。初期パスワードのままのアカウントと、管理者の権限を持つアカウントも洗い出します。
- 押収されたドメインとIoCでログを照らし合わせる。 DNS・プロキシ・ファイアウォールのログで、司法省が公表した7つのドメイン(c0cc[.]cc、98aiblog[.]com、98aicai[.]com、98aicode[.]com、outlook3650[.]com、youtubecard[.]com、linkedinns[.]net)への通信を探します。偵察は2022年の記録なので、ログの保存期間も確かめます。許可していない SoftEther が入っていないかは、資産管理ツールで調べます。
- 見つかったときの報告先を決めておく。 勧告は、日本の組織に国家サイバー統括室(first-team@cyber.go.jp)か警察庁のサイバー事案の窓口への報告を案内しています。勧告の手順は、侵入された端末を特定して隔離し、ログを集めて範囲を調べることから始まります。
公式の資料で分からないこと
- 偵察された日本の空港の名前と数、侵入や被害があったかどうかは、公開資料に書かれていません。
- Integrity Tech の「顧客」が具体的に誰かは、司法省の発表に書かれていません。
- 日本のほかの会社が標的になったかどうかも、共同勧告には書かれていません。
- この記事では、ツールの仕組みや攻撃の方法は扱いません。
2026年10月19日時点の内容です。
