FBI、中国系ハッカー基盤を押収…政府・病院・電力も標的、130カ国超でIoT機器を悪用

　米当局は、米カリフォルニア州南部地区連邦地裁の許可に基づき、QTFYが運用していた「QScan」と「QTRouter」に関連するドメインを押収したと発表した。押収したドメインは両システムの通信や認証に不可欠な形で組み込まれており、これによって両基盤を使用不能にしたとしている。

　QTFYは、中国のナンジン・シンジウウェイ・ネットワーク・テクノロジーに所属するハッカー集団とされる。裁判資料によると、同社は中国国家安全省や中国人民解放軍などを顧客とし、ハッキングサービスを提供していた。QTFYの関係者には、中国人民解放軍の元構成員も含まれるという。


　QScanは、インターネット上から脆弱なIoT機器を探し出し、ホームルータや監視カメラなど数千台の機器を自動的に感染させる仕組みだ。感染した機器はQTRouterに組み込まれる。QTRouterはこうしたIoT機器に加え、商用プロキシサービスや借り受けた仮想プライベートサーバなどで構成され、攻撃元が中国であることを分かりにくくする「難読化ネットワーク」として使われていた。

　FBIによると、攻撃通信は130カ国超にある一般の機器を経由しており、場合によっては標的となった組織の近隣から通信しているように見せることも可能だった。QTFYは少なくとも2018年から活動し、NASA、米連邦準備制度、米エネルギー省、米司法省、米保健福祉省、米国立衛生研究所（NIH）、米上院などを標的としていた。しかし、これらすべてで侵入に成功したわけではない。

　2019年の米航空宇宙局への攻撃では、Pulse Secure VPNの脆弱性を悪用しようとしたものの、公開された裁判資料から侵入成功は確認できない。一方、2024年9月には米エネルギー省傘下の3研究所、NIH、米保健福祉省傘下の1機関、米国のセキュリティ機器メーカーへの侵入が確認されたとされる。個々の組織で取得された情報や被害規模の全容は明らかになっていない。

　今回の措置は、QTFY関係者の刑事訴追を発表したものではなく、攻撃を支える共通インフラを技術的に使用不能にする取り組みだ。米当局は、IoT機器やプロキシを使って攻撃元を隠す中国政府系ハッカーへの対策を続けている。