フィリピンの原子力庁や海軍関連の造船契約企業などで未修正のサーバーが放置されていたことが原因で、あるサイバー脅威グループがネットワークに侵入し、核物質の処理プロセスに関する情報をはじめとする機密データを窃取していたことが分かりました。
脅威ハンティングプラットフォームHunt.ioの研究者は、アムステルダムでホストされているownCloudサーバー上でこれらのファイルを発見しました。このサーバーは攻撃者の活動拠点とみられ、攻撃ツールや窃取データが保管されており、その総数は1,310ファイル、容量にして約1.2GBに上りました。ファイルの内容から、少なくとも2件の被害組織が特定されています。フィリピンの原子力庁と、フィリピン海軍向けに事業を展開する海洋エンジニアリング・造船会社です。Hunt.ioは8月26日に公開したブログ記事でこう述べています。さらに、3つ目のデータベースには、同国の研究・科学施設に勤務する標的候補とみられる人員のリストが含まれていたとみられます。
Hunt.ioは攻撃の帰属については明言していませんが、コード内のコメントやフォルダ名が中国語で書かれていたことから、中国語話者の脅威アクターの関与が疑われます。加えて、サーバー上には広く利用されているオープンソースの攻撃用フレームワークが3種類存在していましたが、これらが標的組織への攻撃に実際に使用された痕跡は確認できなかったと、Hunt.ioの研究部門責任者エステバン・ボルヘス氏は述べています。
「私たちが確認した限りでは、すべてが情報収集と持ち出しの活動であり、破壊活動用のツールは一切見つかりませんでした」と同氏。「造船会社は海軍と取引があり、南シナ海をめぐる利害関係と符合します……しかし、回収したデータの中に、破壊的な効果を狙った準備活動を示すものは何もありませんでした」
今回の事案は、フィリピンにおける脅威の拡大を浮き彫りにしています。ベトナム拠点のサイバーセキュリティサービス企業Viettel Securityが発表したレポートによると、2026年上半期の侵害件数は2025年同期と比較してほぼ3倍に増加しています。攻撃の大半（51%）は銀行・金融サービス・保険(BFSI)分野を標的にしていますが、政府機関を狙った事案も全体の18%に上るとされています。
この地域でサイバーリスクが急速に高まっている大きな要因のひとつが、中国と、南シナ海の領有権を主張する各国との間の政治的緊張です。中国はこれまでも、台湾からベトナム、韓国、そしてフィリピンに至るまで、この地域における対抗勢力に対してサイバー作戦を頻繁に用いてきました。
古い脆弱性が招いた新たな侵害
注目すべきは、こうした極めて機密性の高いシステムへの攻撃が、2年以上前に公開され、すでに修正パッチも提供されていた脆弱性の悪用によって成功していた点です。原子力庁が使用していたownCloudは、ユーザーや組織が独自のクラウドサービスを構築できる、広く利用されているオープンソースプロジェクトです。2023年11月、同プロジェクトはCVE-2023-49105として追跡される脆弱性を公開しました。これは、サーバー上のデータへのアクセスを可能にする事前署名URL機構における認証をバイパスできるというものです。もうひとつの脆弱性はWordPressプラグイン「LiteSpeed Cache」(CVE-2024-2800)に影響するもので、2024年8月に修正されています。
それにもかかわらず、公開から24カ月以上が経過した後も、これらの脆弱性は極めて機密性の高い組織のインターネット公開システム上で依然として悪用可能な状態のままでした。
ボルヘス氏は、組織はシステムを強化し、基本的な対策を徹底する必要があると指摘します。すなわち、インターネットに公開しているコラボレーションソフトウェア、とりわけWordPressサイトのパッチ適用と資産管理を行うこと。ownCloudの署名鍵を変更するなど、最小権限とセキュアなデフォルト設定でハードウェアを構成すること。そして、管理者アカウントに多要素認証と強固なパスワードを設定することです。
「今回の侵入経路は、すでに周知でパッチも提供されていたインターネット公開ソフトウェアの脆弱性と、脆弱な設定の組み合わせでした」と同氏は述べ、セキュリティチームは「今回私たちが確認したパターン、すなわち事前署名URLの悪用と、単一の発信元から多数のアカウントを狙うディレクトリ列挙攻撃に警戒すべきです」と付け加えています。
原子力庁のデータが持ち出される
Hunt.ioの研究者はアムステルダムのサーバー上で約1.2ギガバイトのデータを発見しましたが、そのうち被害組織のデータとみられるものは372メガバイトに過ぎませんでした。しかし、「原子力庁の上部省庁の名前が付けられた」スプレッドシートには、はるかに大規模な被害が記録されており、同庁から9GBのデータが持ち出され、その後サーバーから移動されたことが示唆されていたと、同社は分析の中で述べています。
Hunt.ioは「9ギガバイトが実際に外部へ流出した」ことを確認できてはいないものの、認証情報、文書、データのいずれもが、より広範な侵害が発生したことを示していると、ボルヘス氏は述べています。
「原子炉や造船所を実際に稼働させているシステムに触れた痕跡は見当たりませんでした」と同氏。「[しかし]彼らは研究炉の中核部品データベース、燃料在庫、放射線安全に関する文書、認可ユーザーリスト、そして大量の人事データや認証情報ストアを持ち出していました」
Hunt.ioのレポートによると、回収された資料は、原子炉の中核部品データベース、過去の燃料在庫記録、放射線安全マニュアル、認可ユーザーリストなど、この原子力施設の技術的な設計図に相当する内容を含んでいる可能性が高いとされています。人事関連フォルダには、政府職員や科学者に関する機密性の高い情報が含まれている可能性があります。履歴書、パスポート関連書類、海外渡航記録、そしてフィリピンの公務員に義務付けられている資産・負債・純資産申告書(SALN)などの政府向け財務開示書類が含まれているためです。
さらに、分析によると回収された資料の一部には、開発上の機密情報やその他の認証情報が含まれており、その中には原子力庁のownCloudインスタンスへの有効なログイン情報も含まれていました。これらの文書には、海軍関連の造船契約企業が再び侵害される手がかりとなり得る詳細情報も含まれていると、ボルヘス氏は指摘しています。
持ち出されたデータの戦略的な重要性と、中国語が使用されていたという事実から、脅威アクターは中国系である可能性が高いとみられますが、Hunt.ioは特定の国家主体を名指しするまでには至っていません。
「私たちは特定の中国国家系グループの名前を挙げませんでした。言語は偽装が最も容易な手がかりの一つだからです」と同氏。「[私たちは]これが偽旗作戦だと言っているわけではありません——そうだという証拠もありません——しかし、言語だけを根拠にその可能性を排除することもできません。だからこそ、私たちは『話者』という表現にとどめたのです」
