中国発スパイウェアLightSpy、料金表付きで13カ国に展開。117台のサーバを運用
セキュリティ企業Arctic Wolfの調査で、中国の国家支援ハッカー集団が開発したスパイウェアが「商品」として13カ国に拡散していることが判明した。
セキュリティ企業Arctic Wolfの調査で、中国の国家支援ハッカー集団が開発したスパイウェアが「商品」として13カ国に拡散していることが判明した。
諜報ツールが「商品」になった
2020年、香港の偽ニュースサイトを通じてiPhoneに感染するスパイウェアが発見された。LightSpyと名付けられたそのマルウェアは、中国語を話す攻撃者による諜報ツールだった。標的は政治活動家やジャーナリスト。
6年後、それは別のものに変わっている。
Bloombergが報じたArctic Wolf Networksの調査によると、LightSpyは現在、料金体系、請求システム、そしてデモ環境まで備えた商用スパイウェアとして運用されている。顧客は政府機関、軍、企業、教育機関に及ぶという。
Arctic Wolfは、この活動が中国の国家支援型ハッカー集団APT41に高い確信度で関連していると評価している。APT41は2012年にゲーム業界への攻撃で初めて確認され、その後、通信、医療、教育、テクノロジー分野へと標的を広げてきた集団だ。
スマホからルーターへ
攻撃対象は当初のiOSからAndroid、Windows、macOS、Linuxサーバにまで広がった。
2024年にArctic Wolfが確認したWindows向け監視モジュールDeepDataは、WhatsAppやTelegram、Signal、WeChatなど主要メッセージアプリの通信を傍受する。ブラウザのパスワード抽出、キーロガー、音声の盗聴にも対応し、KeePassのパスワードデータベースをメモリから引き抜く機能まで搭載されている。
LightSpyはネットワークルーターにも感染していた。ルーターに侵入すれば、同じネットワーク上のすべての端末の通信を傍受・中継できる。感染したルーターの一部はNATO加盟国に関連するものだったとArctic Wolfは述べている。
現在のLightSpyの基盤は、少なくとも117台のサーバで構成されている。中国本土からヨーロッパ、アフリカにまで広がっている。
KFCの注文が身元を暴いた
調査の過程で、Arctic Wolfの研究者はLightSpyの運用者の1人を特定した。
その手がかりは、攻撃者自身のミスだった。LightSpyの管理パネルを使って、ケンタッキーフライドチキンに注文を入れていたのだ。実名と勤務先の住所を使って。
この情報から研究者は、国家が開発したスパイウェアを中国の民間業者が運用していると結論づけた。
Arctic Wolfの脅威情報リサーチ責任者、ジャスティン・ムーア（Justin Moore）氏はこう述べている。
もはや国家支援の攻撃者だけを相手にすればいい時代ではない。同等の能力を持つ組織、犯罪者、政府が増え続ける生態系に対処しなければならない
Arctic Wolfは米国土安全保障省（DHS）と協議中で、調査結果をFBIに提供する予定だとしている。
2020年1月 香港でiOSスパイウェアとして発見 偽ニュースサイト経由。標的は政治活動家 2024年4月 Windows向け監視モジュールDeepDataを確認 WhatsApp・Telegram等の傍受、パスワード抽出、音声盗聴 2026年8月 商用プラットフォーム化が判明 13カ国展開。サーバ117台。ルーター感染も確認 KFC注文で運用者の身元が露呈 |
広がる「監視の民主化」
LightSpyだけの話ではない。
かつて監視用スパイウェアは国家機関の独占物だった。イスラエルのNSO GroupによるPegasus、ギリシャやアイルランドに拠点を持つIntellexaのPredator。商用スパイウェアとしてこれまで問題になってきたのは、西側の民間企業が政府に販売するモデルだった。
LightSpyの場合、売り手と開発者が同じ国家だ。国家の諜報機関が開発したツールが、自国内の民間業者を通じて「サービス」として提供される。料金表があり、デモがあり、カスタムブランドがある。顧客がどこの誰であるかを、外部から検証する手段はない。
自分のルーターが、自分のスマホが、誰かの「顧客」によって監視されている可能性を、個人がどう検知し、どう防ぐのか。その答えは、まだ誰も持っていない。
