イラン関連の脅威アクターがサウジ・ゲームズの来場者および選手データを流出

インシデント

本日（2025年6月22日）—「Cyber Fattah」運動に関連する脅威アクターが、王国における主要スポーツイベントの一つである過去のサウジ・ゲームズの来場者および選手に関する情報を含む数千件の記録を漏えいしました。盗まれたデータはSQLダンプの形で流出しており、アクターはphpMyAdmin（バックエンド）に不正アクセスして保存されていた記録を持ち出しました。Resecurityは本件を、イランおよびその代理勢力が様々な目的で実施しているより広範な情報作戦（IO）の一部と見ています。 

当社の評価では、これはイランがサイバー空間における反米・反イスラエル・反サウジのプロパガンダ活動の一環としてデータ侵害を利用し、主要なスポーツおよび社会イベントを標的としている例です。データ侵害の規模が大きいこと、またイランの代理勢力が主要スポーツイベントを攻撃するという前例が生じたことを踏まえ、Resecurityはサイバーセキュリティ・コミュニティの認知向上と、関係者が実行可能な洞察およびリスク軽減戦略を得られるよう、収集したインテリジェンスを共有します。

漏えいは、米国がイランの核施設に空爆を実施した後、人気SNSであるTruth Socialに対するDDoS攻撃に続いて、Cyber Fattahの公式TelegramチャンネルでPST午後6時27分に告知されました。

イベントの公式サイトによると： 

「サウジ・ゲームズは、王国で毎年開催される最大の国内スポーツイベントです。53以上の競技を含む複合型のマルチスポーツ大会で、6,000人を超える選手が参加します。本イベントは、スポーツの卓越性を通じた生活の質の向上、サウジの若者への प्रेर प्रेर（インスピレーション）の提供、才能の発掘と育成、あらゆるスポーツ活動を実践するための場と機会の提供を通じて、国際的なスポーツの場で王国を代表できる新たなスポーツ世代を創出するなど、王国のビジョン2030の複数の目標達成に寄与します。」

注目すべきは、本件がイスラエル—イラン間の緊張の高まりの中で発生している点であり、脅威アクターは地域関係および安全保障におけるサウジアラビア王国と米国の重要な役割を利用しようとしていることです。イラクのヒズボラ関連、ハマス関連、および親イラン系グループも、デジタルメディア・チャネルを通じた標的型プロパガンダ活動と結び付けることで本件を増幅させました。

背景

データは、訪問者、選手、およびそのチームが登録し、プロフィールの追加検証と有効化のために個人情報を共有する、Saudi Games 2024 公式サイトに関連するとみられるデータベースに由来します。アクターはこのイベントを、地域最大級で、国内で大規模に注目され、スポーツを全国的に促進するためにサウジアラビア王国政府が公式に立ち上げたものだと説明しました。標的の選定は偶然ではなく、イランが不安の物語を拡散するために組織した情報作戦（IO）の一部であった可能性が高いです。

最近「Cyber Fattah」チャンネルで告知された後、データはダークウェブ上の著名な地下コミュニティの一つで漏えいしました。『ZeroDayX』という通称で知られるアクターによるものです。同人のプロフィールは最近作成された「捨てアカ（burner profile）」で、投稿は2件のみであり、盗難データをダークウェブ全体に宣伝・配布するために作成された可能性が高いことを裏付けています。大規模なデータ漏えいの背後にいる当事者が、データを公開するために「フロント」役のアクター、あるいはこのケースのように捨てアカを用い、帰属の特定を困難にするのは非常に一般的です。

漏えいデータには複数のデータベースが含まれています：

特筆すべきは、サウジ・ゲームズの侵害に関する最初の非公開の主張が、2025年5月初旬にダークウェブ上で出回り始めたことです。Resecurityは信頼できる法執行機関パートナーにこの活動を通知し、イランの情報源の一つから入手したアーティファクトを共有しました。SQLダンプ作成時刻から、脅威アクターが2025年5月5日に生成したことが示唆されます。

王国に影響を与えた他の複数のデータ侵害にも関与するアクターが、サウジ・ゲームズから盗んだデータを私的に収益化しようとしていました。イラン関連活動に結び付く傭兵、あるいは実際のアクターが「副業」として利益を得ようとした可能性があります。この種の行動は、当社HUNTERチーム（脅威インテリジェンス＆調査）の専門家が、イランのアクターを追跡する中で以前にも観測しています。 

情報源から収集した情報によれば、外国国家のために攻撃を実施するこれらのアクターはしばしば報酬が十分ではなく、そのため代替の収益化手段を求めますが、特定された場合には一定のリスクを伴います。Resecurityは、計画されたイランの攻撃から組織を防御するのに役立つ機微なインテリジェンスを入手するため、これらのアクターの一部と信頼関係のある連絡網を確立しています。ヒューミント（HUMINT）の関与の結果、Resecurityは完全なデータセットを入手できました。一方、最近ダークウェブのフォーラム経由で漏えいしたものはテキスト記録に限定されていました。

何が漏えいしたのか

この規模の侵害には、来場者および選手の個人識別情報（PII）から、国際銀行口座番号（IBAN）、イベント主催者に共有された健康診断証明書に至るまで、機微情報の宝庫が含まれています。

– ITスタッフの認証情報

– 政府関係者

– 選手／来場者情報

– パスポートおよび身分証明書

– 銀行取引明細、IBAN証明書、その他の記録

– 医療フォーム

最も懸念される問題は、スキャン画像という形で個人文書が安全でない状態で保管されており、それが脅威アクターの標的となった点です。Cyber Fattahは、サウジ国民および王国を訪れる外国人に関連する機微文書を数千件持ち出すことに成功しました。

漏えいで観測されたアーティファクトは、サウジ・ゲームズへの言及を確認しています。

Cyber Fattah：起源とアイデンティティ

Cyber Fattahの活動は、中東におけるハクティビズムのより広い潮流と一致しており、そこではグループが活動の一形態としてサイバー戦を頻繁に行います。場合によっては、国家が支援しているのか、国家がスポンサーとなっているのか、国家が黙認しているのか、あるいは純粋にハクティビズムとして実施されているのかを区別するのが難しいことがあります。最近の動向に基づけば、ハクティビストの活動とイランが推進するナラティブは、共通のイデオロギーとプロパガンダに基づいて重なり合っています。 

例えば：

– 親イラン系ハクティビスト・グループが、イスラエルの軍事・政府標的に対して協調攻撃を開始しました。

– Anonymousなど他のグループも、ガザでの紛争中にイスラエルのウェブサイトを攻撃するなど、パレスチナの大義を支持する作戦を実施しました。

– イランの国営メディア資源が、アクターにサイバー攻撃やその他の悪性活動を技術的に指示することで、これらの出来事を増幅させました。

別の観点では、イスラエル—イラン紛争の開始以降、同グループは活動を加速させ、特にイスラエル、サウジアラビア王国、米国を標的としています。 イランは、地域全体に混乱を撒き散らすため、標的型情報作戦（IO）の中で悪性サイバー活動を広範に用いています。

反米プロパガンダの大きな要因は、イランの核開発計画をめぐる対立に加え、イスラエルおよびサウジアラビアへの支援に起因しています。

同グループは自らを「Iranian Cyber Team」とも称しており、イスラエルおよび西側のウェブ資源や政府機関に対する攻撃の重要な実績があります。

Cyber Fattahは、イスラエルを標的とするハクティビストの連合体である、いわゆる「Holy League」のメンバーでもあります。過去には、いわゆるイランおよびレバノンのIslamic Cyber Resistance battalionsの支援を受け、イスラエルの太陽光エネルギー企業に対するサイバー攻撃を実施しました。

2025年5月18日 – 「Holy League」サイバー同盟は、ウクライナおよびイスラエルを標的とする関連「サイバー部隊」の宣言を発表しました。

これに先立ち、同グループは、NATO諸国を標的にすることで知られる非アラビア語話者のハクティビスト・グループCyberVolkとの協力を発表していました。 

注目すべきは、彼らの改ざん（defacement）の一部に「Liwaa Mohammad」への言及が含まれており、当社はこれを「ZeroDayX」という通称と関連付けました。

同一アクターによる2025年以前の改ざんには、ヒズボラの前事務総長ハッサン・ナスララの画像が含まれていました。

当該アクターは、レバノンで大きな存在感を持つ親ヒズボラ思想の複数グループでも確認されています。

地政学的事象を増幅させるために誤情報を拡散しようとするアクターが関与する、反イスラエルおよび反サウジのプロパガンダの複数のエピソードが観測されました。

Cyber Fattah による複数の投稿は、イラン最高指導者ハメネイを積極的に支持し、反イスラエルのアジェンダを推進しています。

彼らが公開した新たなプロパガンダ・コンテンツは、米国大統領ドナルド・トランプも標的としています。

Cyber Fattahによる本件は、イスラエル中心の悪性活動から、反米・反サウジのメッセージングへとより広範な焦点に移行しているという興味深い変化を示している可能性があります。おそらく、こうした動きは、プロパガンダや悪意あるナラティブを拡散するためにイランが実施する心理作戦と整合しています。

スポーツイベント—次の標的か？

間接的に、脅威アクターは世界中の主要スポーツイベントを標的にし得る懸念すべきメッセージを発しました。

ハッカーが主要スポーツイベントを狙う傾向は、金銭的・政治的・戦略的動機の組み合わせにより強まっています。これらのイベントは、サイバー犯罪者や国家支援アクターにとって、特有の脆弱性と機会を提供します。以下は、ハッカーがこうしたイベントに注目する主な理由です：

重要性

主要スポーツ大会のハッキングは、サイバーセキュリティ、スポーツの公正性、そして世界の視聴者を含む複数領域にわたり広範な影響を及ぼし得るため、重要です。

サウジ・ゲームズ2025の開催日はまだ確定していませんが、王国は世界中から観客を集める様々な主要スポーツイベントを開催しています。例として：

緩和策

Resecurityは、消費者と企業を保護するためにデジタル・アイデンティティ保護ソリューションの導入を推奨します。中東におけるサイバー脅威の増大を踏まえ、ResecurityのIDPソリューションは、サウジ国民のデジタル・アイデンティティを保護する上で重要な役割を果たす態勢にあります。 

中東におけるサイバーセキュリティ環境の強化に向けた重要な一歩として、Resecurityは権威あるBlack Hat Middle East & Africaカンファレンスにおいて、最先端のデジタル・アイデンティティ保護（IDP）ソリューションを発表しました。 

この戦略的な取り組みは、より安全なデジタル社会の創出と、地域の個人および企業がサイバー脅威に効果的に対抗できるよう支援するというResecurityのコミットメントと一致しています。

IDPサービスは包括的な防御メカニズムを提供し、個人および企業がアカウントと個人データを保護するために、事前に監視し、早期警告通知を受け取れるようにします。