マイクロソフトのエクスチェンジサーバーの脆弱性をめぐる問題について、今年3月に「マイクロソフトエクスチェンジサーバー脆弱性 問題の本質は何か？」という記事を書いたところですが、この問題はアメリカ、EUなど西側陣営が中国を非難する声明を出す事態に至り、国際社会に大きな影を投げかけています。
アメリカ国務省、攻撃者を「中国」と断定
マイクロソフトがマイクロソフトエクスチェンジサーバーに4つの重大な未知の脆弱性があり、その脆弱性を悪用した非常に洗練されたエクスプロイト攻撃が行われていることを明らかにしたのは今年３月のことでした。マイクロソフトの発表を受けてアメリカ政府の国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)は緊急指令を発出し、エクスチェンジサーバーを使用している連邦政府機関や民間部門に対して速やかにネットワークから遮断等の措置を講ずるように求めました。CISAの緊急指令は事態が差し迫っている印象を強く与えました。マイクロソフトは、攻撃が国家を背景としたグループによって行われていると表明しました。すでに３万組織がハッキングされ、ハッキングされたネットワークをリモートで制御することが出来るツールが世界中にばら撒かれているとの報道が米メディアなどで行われました。
アメリカ国務省は7月19日にブリンケン国務長官が声明を発表し、この中でマイクロソフトエクスチェンジサーバーの脆弱性を悪用した大規模なサイバースパイ活動について中国国家安全保障省(MSS)に所属するサイバー攻撃者の活動だと初めて断定し、中国が国家利益のためにハッカーを活用するシステムを育成しているとして非難しました。ただし、アメリカ国務省の声明には具体的なハッカー組織の記載はありません。
イギリスNSCS「ハフニウムによる攻撃の可能性」
イギリスとＥＵも同日、マイクロソフトエクスチェンジサーバーの脆弱性を悪用した大規模なサイバースパイ活動について中国を非難する声明を発表しました。EUの声明によると、EUやEU加盟国の政府機関や政治組織、さらにヨーロッパの主要産業を標的とした悪意のあるサイバー活動はAPT40とAPT31と呼ばれるハッカーグループにリンクしており、これらの活動は知的財産の盗難とスパイ活動を目的に中国本土から行われているということです。
さらにイギリス政府の声明によると、マイクロソフトエクスチェンジサーバーの脆弱性を悪用した攻撃は2021年の初めより発生し世界の25万台のサーバーに影響を与えたということです。イギリス政府の声明には、同国の国家サイバーセキュリティセンター(NCSC)の評価をつけており、NCSCによるとマイクロソフトエクスチェンジサーバーの脆弱性を悪用した大規模なサイバー攻撃はハフニウムと呼ばれるグループによって行われ、ハフニウムは中国の国家に関連している可能性が高いということです。さらに欧米を標的とした攻撃者としてAPT40、APT31をあげ、この２つのグループは中国国家安全保障省と関連があるということです。マイクロソフトエクスチェンジサーバーの脆弱性を悪用した攻撃についてアメリカ国務省は中国のMSSに所属している攻撃者と言っていますが、イギリスNCSCは中国と関連しているとみられるハフニウムの名前をあげ、別にMSSに属するAPT40、APT31をあげています。さらにEUの声明ではマイクロソフトエクスチェンジサーバーの脆弱性を悪用した攻撃を批判しつつ、中国からのヨーロッパに対する総体的な攻撃者としてAPT40、APT31をあげています。声明は中国のサイバー攻撃を非難している点では一様ですが、マイクロソフトエクスチェンジサーバーの脆弱性を悪用した攻撃者に関しては見解に微妙な違いがある印象も受けます。
日本政府、APT40を非難する外務報道官談話を発表
ところで欧米に歩調を合わせて日本政府も外務省と内閣サイバーセキュリティセンター、警察庁が声明を出しました。外務省の声明は外務報道官談話という形で発表されており、外務省発表を受けて内閣サイバーセキュリティセンター、警察庁が連名で注意喚起文を出しています。マイクロソフトのエクスチェンジサーバーの脆弱性をめぐる問題について日本ではJPCERT/CCなどが注意喚起を行いましたが、欧米と比較すると公的機関やメディアも含めて関心の程度が極めて低い印象があります。これを反映しているのかわかりませんが、日本の声明では、マイクロソフトのエクスチェンジサーバーの脆弱性を悪用した攻撃に関する記述はなく、APT40の活動に関し日本企業も対象になっていることを確認しているとして、APT40を非難し警戒を呼びかける内容になっています。
■出典
https://www.state.gov/responding-to-the-prcs-destabilizing-and-irresponsible-behavior-in-cyberspace/