ハッキングされたアジアの通信事業者、台湾の通話とテキストメッセージの傍受に悪用

新たに確認された国家レベルの攻撃グループが、アジアの侵害された携帯電話事業者を利用して通話やテキストメッセージを傍受していることがわかりました。主な標的は台湾の加入者です。Enea（エネア）は2025年初頭からこのグループを追跡してきました。

通信・サイバーセキュリティ向けソフトウェアを提供するEneaは、11月11日に公開した調査レポートで、このグループを「SilentAir」と命名しました。レポートでは、携帯電話事業者を攻撃してきたLiminal Pandaについても取り上げています。

Eneaによると、両グループの間には関連の可能性が見られるものの、裏付けは得られていません。

台湾の加入者を狙うSilentAir

Eneaは、SilentAirが国家レベルで活動していると高い確度で判断しています。このグループは、少なくともアジア6カ国の事業者で乗っ取った機器から、Signaling System No. 7（SS7）とDiameterを悪用した攻撃を仕掛け、さらに12の国・地域にいる標的を狙いました。

攻撃は波状的に発生し、1カ月あたりの標的は数人から数千人まで幅がありました。その間には数カ月にわたる沈静期も挟まっています。SilentAirの活動に占める傍受の割合は18.30%でした。シグナリング攻撃の大半を担う監視ベンダーの2.07%と比べると、きわめて高い水準です。

一部の標的では、傍受の開始直後に二要素認証（2FA）コードが届いていました。Eneaは、標的の他のアカウントへの侵入が狙いだったことを示すものだと説明しています。そのほかの活動は、大半がサイレントSMSでした。端末の画面には表示されないテキストメッセージで、主に台湾のユーザーに対し、真夜中ごろに送信されていました。

Eneaは、確度は低いものの、SilentAirを中国と関係する作戦に結びつけています。根拠は、台湾への集中、中国の標的がないこと、中国の時間帯に合致する稼働時間、中国の祝日に活動が減ることです。標的には、政界や政府の要人も含まれていました。

通信分野のスパイ活動に関する関連記事：シンガポール、通信網を狙う中国系ハッカーを排除

GTPDoorを拡張するLiminal Panda

Eneaによると、同社のファイアウォールは2026年初頭から、複数の顧客事業者でGTPDoorなどLiminal Pandaの活動を検知してブロックしました。コマンド＆コントロール（C2）通信の試行は数百件にのぼります。

GTPDoorはUnix向けのバックドアで、ローミングデータを運ぶGPRS Tunneling Protocol（GTP）にC2通信を隠します。

Eneaは、Liminal Pandaに感染した事業者を、直接確認できたもの、または強い兆候があったものを合わせて少なくとも5〜10社把握しています。実際には数十社に上る可能性があり、アジア、アフリカ、中南米に集中しているとみています。

Eneaはさらに、ユーザーデータを運ぶGTPの一部であるGTP-Uに乗る、新しいバージョンのGTPDoorも発見しました。この通信は量がはるかに多く、Eneaによれば監視も手薄です。制御側とは異なり、5Gにも引き継がれます。Eneaは、この新バージョンは主にフォールバック（代替手段）として使われているとみています。

CrowdStrikeは2024年11月、Liminal Pandaを中国と関係する作戦に関連づけました。こちらも確度は低いとしています。

Eneaは、顧客がLiminal Pandaを排除できるよう支援したほか、SilentAirの攻撃元となった事業者にも警告したと述べています。両グループは現時点では勢いを削がれたものの、これらのグループや他の攻撃者が再び現れる条件は残っていると警告しています。