オランダ当局は、ロシア系のハッカー集団が当局者を標的としたサイバー攻撃を開始したと公表した。国家や準国家組織の関与が疑われる攻撃は、単なる金銭目的のランサムウェアとは異なり、政策決定や外交、軍事、治安といった国家機能に直結する情報の窃取・監視を主眼とすることが多い。攻撃対象が「政府関係者」であっても、周辺の委託先・研究機関・業界団体・個人端末へと波及し、結果として民間企業も被害圏に入る点が重要だ。本稿では、今回の事案を手がかりに、想定される攻撃シナリオ、狙われやすいポイント、そして組織が実装すべき現実的な防御策を整理する。
国家支援型攻撃がもたらすリスクの本質
国家支援型（APT）攻撃の特徴は、侵入の成否よりも「長期間の潜伏」と「継続的な情報収集」に価値を置く点にある。侵害後すぐに破壊活動や金銭要求に移行せず、メール・文書・認証情報・会議予定・連絡網などを静かに収集する。これにより、将来の交渉や制裁、軍事・安全保障上の意思決定に影響を与える材料を得ることができる。
また、標的は必ずしも当局者本人の端末だけではない。攻撃者は、セキュリティ成熟度が相対的に低い「周辺」から入る。典型例は、外部委託先、イベント運営、調査分析を担う企業、広報・法務・シンクタンク、学術機関、サプライヤーである。いわゆるサプライチェーン経由で中核組織へ到達するのが常套手段だ。
想定される攻撃手口：当局者標的で増える“現実的”な入口
当局者を狙う攻撃では、派手なゼロデイよりも、成功率の高い手口が反復される傾向がある。具体的には次のような組み合わせが現実的だ。
スピアフィッシングと認証情報の奪取
業務連絡や会議招集を装ったメールで、偽のログイン画面へ誘導し、ID・パスワードや多要素認証（MFA）の突破に必要な情報を奪う。近年は、MFA疲労攻撃（大量の承認要求で誤タップを誘う）や、セッションクッキーの窃取による“ログイン後の状態”の乗っ取りも増えている。特にクラウドメールは侵害のインパクトが大きく、過去メールの探索、転送ルールの設定、関係者への二次攻撃に直結する。
脆弱な境界装置・リモートアクセスの悪用
VPN、リモートデスクトップ、ゲートウェイ、ファイアウォール等の既知脆弱性や設定不備を突いて侵入する。攻撃者にとっては、パッチ未適用や資産管理の漏れが“確実な入口”となる。政府関連はテレワークや複数拠点が前提となるため、境界装置は常に狙われやすい。
正規ツールの悪用（Living off the Land）
侵入後は、OS標準機能や正規の管理ツールを使って横展開することで、検知を回避する。ログを見ても通常業務に見えやすく、EDRを導入していても運用が弱いと見逃される。結果として、侵害の発見が数週間〜数カ月遅れるケースがある。
なぜ民間企業にも関係するのか：標的の“連鎖”
当局者を狙う攻撃が民間に波及する主な理由は3つある。
第一に、当局者と日常的に接点を持つ企業（委託、入札、調査、広報、イベント、翻訳、コンサル）が踏み台になり得ること。第二に、関係者が利用するSaaS、メール、ファイル共有、オンライン会議が共通基盤となり、侵害が横滑りしやすいこと。第三に、収集対象が政策だけでなく産業競争力に直結する技術情報（エネルギー、防衛、半導体、海運、通信）へ拡大することだ。つまり「政府を狙った攻撃」＝「官民の境界を越える攻撃」である。
組織が取るべき優先対策：即効性のある防御を積み上げる
国家支援型攻撃への対策は、単一製品の導入では完結しない。重要なのは、侵入を“完全に防ぐ”発想から、侵入を前提に「検知と封じ込めを速くする」体制へ移行することだ。優先度の高い実務項目を以下に示す。
メールとクラウドアカウントの防御強化
フィッシング対策として、MFAは必須だが方式選定が重要である。可能であれば、プッシュ承認のみのMFAから、フィッシング耐性の高い方式（FIDO2等）へ段階的に移行する。加えて、条件付きアクセス（国・端末準拠・リスクスコア）や、管理者アカウントの分離、メール転送ルールの監視、危険なOAuthアプリの棚卸しを行う。
攻撃面（Attack Surface）の可視化とパッチ運用
外部公開資産（VPN、ゲートウェイ、管理画面、古いドメイン）の棚卸しを定期化し、脆弱性対応のSLAを定める。特に「インターネット露出＋認証あり」の装置は、侵害時の影響が大きい。機器更新が難しい場合でも、管理画面の閉域化、IP制限、強固な認証、ログの集中管理でリスクを下げられる。
EDR導入だけで終わらせない運用設計
EDRは導入より運用が成果を左右する。アラートのトリアージ基準、緊急隔離の判断権限、夜間・休日の連絡経路、侵害端末の保全手順を事前に整備する。特に正規ツール悪用を見抜くには、管理者権限の利用状況、スクリプト実行、資格情報アクセス、横展開の兆候を相関分析できるログ基盤が有効だ。
特権管理とゼロトラストの現実的適用
横展開を阻む鍵は特権管理である。ローカル管理者の削減、特権IDの使い回し禁止、PAW（管理専用端末）の導入、重要サーバへの踏み台強制、ネットワーク分離を段階的に進める。ゼロトラストは理念で終わらせず、「重要度の高い資産から順に」適用範囲を広げることが現実的だ。
サプライチェーンと委託先のセキュリティ要件
官民連携領域では、委託先を含む統制が不可欠だ。最低限として、MFA必須、端末暗号化、EDRまたは同等の監視、脆弱性対応の期限、インシデント時の報告義務、ログ保全、再委託管理を契約条項に落とし込む。取引先監査が難しい場合は、提出証跡（設定画面、運用記録）で段階評価する方式でも前進できる。
インシデント対応：被害を小さくする“初動の型”
国家支援型攻撃では、侵害後の潜伏が長いため、封じ込めの遅れが情報流出の規模を拡大させる。初動の型としては、①影響範囲の仮説設定（侵入経路・横展開・権限奪取）②クラウド監査ログと端末テレメトリの即時確保③認証情報のリセットとセッション無効化④不審な転送ルールやアプリ連携の解除⑤重要システムの分離と監視強化、を最短で回す。あわせて、対外説明に備えた事実と推定の切り分け、タイムライン管理も不可欠である。
まとめ：狙われる前提で“持続可能な防御”を構築する
今回のように当局者が標的となる局面では、攻撃は官民の境界を越えて波及する。重要なのは、フィッシング耐性の高い認証、外部公開資産の管理、EDRの実運用、特権管理、委託先統制、そして初動対応の型を、優先順位を付けて積み上げることだ。国家支援型攻撃は短期決戦ではなく持久戦である。継続的に攻撃面を減らし、検知と封じ込めの速度を上げる組織だけが、情報と信頼を守り抜ける。