国家の独占物だったはずの監視能力に、新たな担い手が加わりつつあります。ブランディングや課金システムまで備えた”スパイウェア・アズ・ア・サービス”は、もはや絵空事ではありません。
Arctic Wolfは8月6日、中国発とされるスパイウェア「LightSpy」の動向を報告した。2018年に確認され中国国家系ハッカーとの関連が指摘されてきたLightSpyは、単一の脅威アクターが運営する商用プラットフォームに変貌し、政府・企業・軍向けに販売しているという。
独自ブランディングと課金システムを備える。標的は中国本土を越え、欧州・米国を含む13カ国以上に拡大した。モジュール型でスマートフォン、Apple製デバイス、Linuxサーバー、Windows PCを標的にし、位置情報やチャット、画面録画、パスワードを窃取するほか、遠隔でのデータ消去・破壊も可能という。新たにルーターへの直接感染も確認され、一部はNATO加盟国に所在し、少なくとも117台のサーバー網も確認された。攻撃者特定は、運用者が管理パネルからKFCに実名と住所で注文したことが糸口となった。
From: 
China-linked LightSpy spyware caught targeting victims in 13 countries, including the US
【編集部解説】
攻撃の中身──モジュール型スパイウェアは何をするのか
LightSpyの技術的な核心は、そのモジュール型アーキテクチャにあります。攻撃者は標的のデバイス種別――スマートフォン、Apple製デバイス、Linuxサーバー、Windows PC――に応じて異なる攻撃モジュールを使い分け、それぞれのデバイス固有の脆弱性を突いて侵入します。
侵入後にできることは幅広く、正確な位置情報の取得はもちろん、チャットメッセージの窃取、画面の録画、保存済みパスワードの抜き取りまで及びます。さらに、侵害した端末のデータをリモートで完全に消去し、端末そのものを使用不能にする機能も備えているといいます。Arctic Wolfの過去の分析では、通話履歴やWi-Fi接続履歴、ブラウザの閲覧履歴、さらにはWeChat Payの決済履歴を抜き取るプラグインの存在も報告されており、単なる位置情報収集にとどまらない、生活全般を可視化する設計思想がうかがえます。
今回新たに明らかになったのは、ルーターへの直接感染という手口です。スマートフォンやPCではなく、ネットワークの入り口にあたるルーターそのものを乗っ取ることで、攻撃者はそこに接続するすべてのデバイスの通信を可視化し、足がかりを得られます。個人のスマホやPCがどれだけ対策していても、ルーターが侵害されていれば同じネットワーク上の家族や同僚の端末まで危険にさらされる、という点がこの手口の厄介さです。感染が確認されたルーターの一部はNATO加盟国に所在しており、別の報道では欧州やアフリカでの通信の傍受・中継に使われているとも伝えられています。
「スパイウェア・アズ・ア・サービス」という業態
今回の報告で見過ごせないのは、LightSpyが単発の攻撃ツールではなく、独自のブランディング、課金システム、購入希望者向けの営業デモまで備えた”商用プラットフォーム”として運営されている点です。政府・企業・軍需といった顧客向けにアクセスを販売する単一の脅威アクターが運営しているとされます。
Arctic Wolfで脅威インテリジェンス調査を統括するJustin Moore氏は、もはや国家系ハッカーへの対策だけでなく、企業や犯罪組織、政府までもが同様の能力にアクセスできる、より広いエコシステムへの対応が課題になっていると指摘しています。
商用スパイウェアという業態自体は、LightSpyが初めてではありません。イスラエルのNSO Groupのように、政府機関向けにスマートフォン監視ツールを”製品”として販売する企業はすでに存在しており、LightSpyの動きは、この市場が中国発のプレイヤーにも広がりつつあることを示しています。
身元発覚の経緯と、まだ分かっていないこと
今回の報告で象徴的だったのが、攻撃者の特定につながった経緯です。運用者の一人が、LightSpyの管理パネルを通じて自身の実名とオフィスの住所でKFCに注文していたことが判明し、これが中国の請負業者への帰属につながったといいます。高度な技術を持つ攻撃者であっても、日常のちょっとした不注意が身元を割り出す糸口になる──サイバー攻撃の帰属調査が、技術解析だけでなく、こうした人間くさいミスの積み重ねによって進むことは珍しくありません。
一方で、まだ明らかになっていないことも多くあります。LightSpyを実際に運営している企業の具体的な身元は、現時点の報道では明らかにされていません。Arctic Wolfは今回の調査結果を米国土安全保障省（DHS）に相談済みで、FBIにも提供する予定だと報じられていますが、この先どのような法的・外交的対応につながるかは不透明です。日本国内での感染事例が確認されているかどうかも、現時点の報道からは分かりません。
なぜ、いま私たちがこれを知っておくべきか
LightSpyの系譜をたどると、元記事では2018年の発見とされていますが、Arctic Wolf自身の過去のレポートでは2020年、香港の政治的緊張のさなかにiOS向け実装が確認されたことを起点として説明しており、発見時期の記載には報道によって幅があります。いずれにせよ、その後もAPT41（中国系サイバースパイ集団）との関連が指摘される中で、2024年にはWindows向けの新フレームワーク「DeepData」を追加するなど、段階的に対応デバイスと機能を拡張してきた経緯があります。今回のルーター感染機能と商用化は、その延長線上にある動きと見ることができます。
読者にとっての実務的な含意は、ルーターというインフラの脆弱性が、個々のデバイスのセキュリティ対策と同じくらい重要になってきているということです。ファームウェアの更新、初期パスワードの変更、管理画面への外部アクセス制限といった基本的な対策が、こうした攻撃の足がかりを断つ意味を持ちます。国家が独占していたはずの監視能力が商品として流通し始めている以上、「自分は標的にならない」という前提そのものを見直す必要があるのかもしれません。
【関連記事】
南アジアのiPhoneユーザー狙う「LightSpy」スパイウェア、再び活発化
2024年に南アジアで確認されたLightSpyの活発化。今回の商用化・拡大の前段にあたる動向です。
Pegasus開発のNSO Group、WhatsAppハッキングで1億6800万ドルの賠償金支払い命令
商用スパイウェアの先行事例、NSO GroupのPegasusが法的責任を問われた前例です。
スマホは無傷でも追跡される—Citizen Lab「Bad Connection」が暴いた通信網ハッキングの実態
端末以外のインフラを狙う監視手法という点で、ルーター感染と文脈を共有する事例です。
【編集部後記】
スパイウェアが「サービス」として売買される時代、防御の最前線は国家だけでなく、ルーターやスマート家電といった身近な機器にも及び始めています。ファームウェアの更新通知を見過ごしていないか、初期パスワードのままの機器がないか──一度、私たちの身の回りの機器を思い浮かべてみると、見えてくるものがあるかもしれません。技術的な攻防の裏側で、地道な運用管理がどれほどの意味を持つか、この事案は静かに物語っています。
【用語解説】
LightSpy
2018年（元記事表記）または2020年（Arctic Wolf過去レポート表記）に確認されたスパイウェアプラットフォーム。中国系ハッカー集団との関連が指摘され、モジュール型でスマートフォンからPC、ルーターまで幅広いデバイスを標的にする。
APT41
中国系とされるサイバースパイ集団の呼称。国家的な諜報活動と金銭目的のサイバー犯罪の両方に関与するとされる、複合的な脅威アクターとして知られる。
モジュール型マルウェア（Modular Malware）
標的のOSやデバイスの種類に応じて、機能ごとに分かれた部品（モジュール）を組み合わせて動作するマルウェアの設計方式。攻撃対象を柔軟に拡張できる。
スパイウェア・アズ・ア・サービス（Spyware as a Service）
監視・諜報用ソフトウェアを、SaaS製品のように課金・サポート付きで顧客に提供する事業形態。国家機関だけでなく企業なども顧客になりうる。
ブリッキング（Bricking）
遠隔操作で端末のデータを消去し、機器そのものを使用不能な状態（文鎮化）にする攻撃手法。
【参考リンク】
Arctic Wolf（公式サイト）（外部）
今回LightSpyの実態を報告したセキュリティ企業。脅威インテリジェンスレポートを多数公開している。
NSO Group（公式サイト）（外部）
政府機関向けにスマートフォン監視ツール「Pegasus」を製品として販売するイスラエルの企業。商用スパイウェア市場の先行事例として知られる。
JPCERT/CC「Wi-Fiルータを安全に使う上での注意」（外部）
家庭用ルーターの初期設定・運用上の注意点をまとめた国内公的機関の解説ページ。
【参考記事】
A Chinese Spyware Tool Operates in 13 Countries, Cybersecurity Firm Says — Insurance Journal（Bloomberg配信）（外部）
Arctic Wolfの調査責任者Justin Moore氏の発言や、NSO Groupとの比較、運用者の身元が特定されていない旨を報道。
Chinese espionage platform active in 13 countries – study — UNN（外部）
Arctic WolfがDHS・FBIに情報提供予定であること、ルーター感染で欧州・アフリカの通信中継に使われている点を報道。
LightSpy Returns: Renewed Espionage Campaign Targets Southern Asia, Possibly India — Arctic Wolf（外部）
LightSpyの窃取機能の詳細や、2020年に香港情勢の中でiOS実装が初確認された経緯を報告。
LightSpy: APT41 Deploys Advanced DeepData Framework — Arctic Wolf（外部）
LightSpyとAPT41の関連性、2024年のWindows向け新フレームワーク追加の経緯を報告。
