サイバー攻撃者が身元を隠すための「匿名化インフラ」を、対価を払えば誰でも利用できるサービスとして提供する動きが、近年目立つようになっています。その中で、中国の民間企業が、米当局によって摘発されました。押収されたインフラの利用先には、NASAや米上院、エネルギー省といった米政府機関が含まれていたことも明らかになっています。
8月26日、米連邦捜査局（FBI）と司法省は中国政府系サイバー工作員のボットネットと2つのハッキングプラットフォームを解体・押収したと発表した。
押収されたのは脆弱性スキャン・悪用マルウェア「QScan」と、秘匿化ネットワーク「QTRouter」。両者はNASA、米上院、エネルギー省、連邦準備制度理事会、司法省、保健福祉省、国立衛生研究所などを標的にしていた。運営主体は中国政府系グループ「QTFY」で、中国・南京の民間企業Nanjing Xinjiuwei Network Technology Companyが担っていたとされる。8月24日には米連邦裁判所が3つのドメイン（qtproxy.xyz、qt-proxy.org、qt-team.com）の押収令状を認可し、両マルウェアを機能停止に追い込んだ。活動は少なくとも2018年から続き、直近では今年、米上院のインフラが侵害されていたという。
【編集部解説】
「発信源を隠す」こと自体がサービス化している
QTRouterの構成——乗っ取ったIoT機器、商用プロキシ、レンタルVPSを組み合わせて攻撃の発信元を偽装する仕組み——は、セキュリティ業界がここ数年注視してきた「ORB（Operational Relay Box）ネットワーク」とほぼ同じ構造です。Google傘下のMandiantが2024年5月に体系化して報告して以来、Volt Typhoonをはじめとする複数の中国系グループがこの手法を使っていることが確認されてきました。
ORBネットワークは特定の攻撃グループが専有するインフラではなく、複数の脅威アクターが対価を払って共有する「多重テナント」型の運用になりやすいことも指摘されています。今回の件で言えば、QTFYが運営するインフラを、中国国家安全部（MSS）や人民解放軍（PLA）が“顧客”として利用していたとDOJは説明しています。国家が自らインフラを持つのではなく、民間企業に外注し、その企業がさらに複数の実行主体にインフラを又貸しする——「攻撃元を隠す」という工程そのものが独立した産業として成立しつつある様子がうかがえます。
なお、こうした国家関与の指摘に対し、中国政府はこれまでサイバー攻撃への関与を一貫して否定してきました。今回の摘発について中国側がどう反応するかも、引き続き注視すべき点です。
摘発は「解体」であって「終息」ではない
司法省は今回の摘発を、Mustang Panda（2025年、PlugX除去）、Flax Typhoon（2024年、当局に迫られ自壊）、Volt Typhoon（2023年末、ボットネット解体）と続く一連の作戦の延長線上に位置づけています。
ただし、この系譜には見過ごせない事実もあります。2026年6月、Lumen傘下のBlack Lotus Labsは、Volt Typhoonにつながるボットネットが「顕著に再興」し、感染端末が1500台規模に増加したと報告していました。つまり、2023年末に一度解体されたはずのインフラ系統が、今回の摘発のわずか2カ月前の時点で勢いを取り戻していたことになります。ドメイン押収は該当インフラを機能停止に追い込む即効性のある手段ですが、IoT機器を乗っ取って再構築するコストの低さを踏まえると、同じ脅威アクター（あるいは同じインフラ提供者）が新しいドメイン・新しい感染端末で再起動することを妨げる決定打にはなりにくい、という構造的な限界も同時に見えてきます。この点はFBIも「侵害端末数」や他グループとの関連について今回コメントを避けており、実際の反復耐性がどの程度かは今後の観測を待つ必要があります。
パッチ済みの脆弱性が何年も“現役”であり続ける
今回の裁判所文書が示す被害の時系列も示唆的です。QTFYは2019年、Ivanti Pulse Secure VPNの脆弱性CVE-2019-11510を悪用してNASAへの侵入を試みたとされますが、同じ脆弱性は2020年、COVID-19禍のさなかにオハイオ州の医療機関への攻撃にも使い回されています。さらに2024年には、Ivanti Cloud Services ApplianceのゼロデイCVEを使い、エネルギー省傘下の国立研究所やNIHへの侵入が確認されています。
パッチが公開された脆弱性であっても、更新が行き渡っていない周辺機器（VPNゲートウェイやルーターなど）が世界中に残り続ける限り、同じ攻撃手法が数年単位で“現役”であり続けるという現実を、この事案は改めて示しています。
来月に控える米中首脳会談という背景
司法長官トッド・ブランシュ氏は発表当日、来月に予定される習近平国家主席の訪米（国連総会に合わせ9月24日前後になる見通し）でこの件が議題になるかを問われ、明言を避けました。摘発の発表時期と首脳会談の距離感については、直前まで米中間で制裁の応酬が続いていたと報じられている点も含め、背景として押さえておく価値はあります。ただし、今回の摘発自体はドメイン押収令状が8月24日に認可されたという司法手続き上のタイミングに基づくものであり、外交日程を意図して合わせたと断定できる根拠は不明なままでした。
【関連記事】
FBI・PlugXマルウェア駆除作戦完了：中国Mustang Pandaグループの標的型攻撃に終止符
同種の摘発は前例がある。2025年にはFBIとフランス警察が、Mustang Panda関連のPlugXマルウェアを米国内4000台超のPCから除去した実績がある。
Integrity Technology Group制裁：米財務省、26万台規模のボットネットで中国企業に制裁発動
国家系ハッカーを支える“民間企業”という構図は今回が初めてではない。2025年には、Flax Typhoonに協力したとして中国企業Integrity Technology Groupが米財務省の制裁対象になっている。
NCSCら10カ国16機関、中国系秘匿ネットワークへの防御策を共同公開
こうした秘匿インフラへの対抗策は、法執行だけでなく国際的な防御アドバイザリーの形でも進められてきた。2026年4月には英NCSCなど10カ国16機関が共同で防御策を公開している。
中国のハッキンググループ『Volt Typhoon』、米国小規模電力会社を攻撃：古いファイアウォールの脆弱性が原因
老朽化した機器の脆弱性を突く手口は、Volt Typhoonによる米国電力会社への侵害でも確認されている。
【編集部後記】
今回の摘発は、押収という「点」の勝利です。しかし、乗っ取られた家庭用ルーターや監視カメラが、知らぬ間に他国への攻撃の踏み台になっているという構造そのものは、この一件で消えるわけではありません。私たちの手元にある機器が、遠く離れた国家間の攻防に組み込まれているとしたら——それをどこまで「自分事」として捉えるべきなのか。私たちにもまだ、明確な答えはありません。
【用語解説】
ORBネットワーク（Operational Relay Box）
乗っ取った家庭用ルーターやIoT機器と、商用プロキシサービス・レンタルサーバーを組み合わせて構成する偽装用の中継網。攻撃の発信元を隠す目的で使われる、近年の中国系サイバー攻撃グループに共通する手口。
ボットネット（Botnet）
マルウェアに感染し、攻撃者から遠隔操作される複数のコンピュータ・機器で構成されるネットワーク。
ゼロデイ脆弱性（Zero-day Vulnerability）
ソフトウェア開発元がまだ把握・修正していない脆弱性。パッチが存在しない状態で悪用されるため、防御側の対応が後手に回りやすい。
CVE（Common Vulnerabilities and Exposures）
公開された脆弱性に付与される一意の番号。世界中のセキュリティ関係者が同じ脆弱性を指し示すための共通言語として機能する。
【参考リンク】
米司法省（DOJ）公式発表（外部）
今回の摘発に関する司法省の公式プレスリリース。裁判所文書の要旨も掲載。
FBI公式サイト（外部）
連邦捜査局の公式サイト。サイバー犯罪関連の発表・注意喚起を随時掲載。
Ivanti公式サイト（外部）
今回の一連の事案で悪用されたVPN製品・Cloud Services Applianceのベンダー公式サイト。
NASA公式サイト（外部）
一連の侵入試行で標的とされた米航空宇宙局の公式サイト。
CISA 既知の悪用済み脆弱性（KEV）カタログ（外部）
実際に悪用が確認された脆弱性の一覧。自組織の機器が該当していないか確認する際に有用。
【参考動画】
FBI, Department of Justice Announce Disruption of Global Botnet（外部）
FBIサイバー部門アシスタントディレクター、レザーマン氏による解説動画。QTFYの手口を説明。
【参考記事】
IOC Extinction? China-Nexus Cyber Espionage Actors Use ORB Networks to Raise Cost on Defenders — Google Cloud（Mandiant）（外部）
ORBネットワークの技術的な定義・分類を示した一次報告。
Chinese Hackers Rely on Covert Proxy Networks to Evade Detection — Infosecurity Magazine（外部）
Volt TyphoonなどによるORBネットワーク利用を報じた記事。
An Introduction to Operational Relay Box (ORB) Networks — Team Cymru（外部）
ORBネットワークが民間企業により運用され、複数の脅威アクターに共有される構造を解説。
Chinese hackers targeted Senate, Federal Reserve, and others, DOJ says — The Hill（外部）
QTFYがMSS・PLA向けにサービスを提供していたとするDOJ発表を報じた記事。
As US and China throw up tit-for-tat sanctions, is Trump’s Xi meeting at risk? — CNN（外部）
習近平氏の訪米を控えた米中間の緊張関係を報じた分析記事。
China-linked operators revive botnet, stir AI datacenter debate — The Register（外部）
2026年6月、Volt Typhoon系ボットネットの再興を報じた記事。今回の摘発の2カ月前の状況。
