FBI、中国関連7ドメインを押収 — Flax Typhoonが世界中の重要インフラを標的

7つのドメイン、2つのハッキングプラットフォーム、重要インフラセキュリティチームへの戦略的警告

2026年10月8日、米国司法省とFBIは、2つの中国関連ハッキングプラットフォーム（MicroScanおよびFishHubと指定）をサポートする7つのインターネットドメインの裁判所承認による押収を発表した。これはBleepingComputerおよびThe Registerによってまとめられた裁判所文書によるものである。両プラットフォームは、中国を拠点とし、中国政府との関連が疑われるIntegrity Technology Group（Integrity Tech）に帰属すると報告されている。ただし、この帰属は現在、主に単一の裁判所提出文書の情報源に基づいており、独立して確認された公開声明ではないため、さらなる確認が必要な主張として扱うべきである。この行動はReuters、BleepingComputer、The Register、ITnews Australia、およびNHK Worldにより報道された。英国、オーストラリア、カナダ、日本、ニュージーランド、およびスペインのパートナー機関からのアドバイザリーが発表された。CISAとNSAが公式な共同発行機関としての関与は、本誌が入手できる情報源によって独立して確認されていない。ドメインの内訳（1つのMicroScanドメイン、5つのFishHub配信ドメイン、および1つのSoftEther VPN関連ドメイン）は、脅威アクターが長期的なアクセスを維持するために使用する階層化された冗長なアーキテクチャを反映している。このアクティビティクラススターは、Flax Typhoonとして公開追跡されている。一部の研究者は、このアクティビティをEthereal PandaおよびRed Juliettとして追跡されるグループに関連付けたと報告されているが、これは本誌により独立して確認されていない。

この作戦を典型的な法執行活動と区別しているのは、標的設定の広さと意図的性質である。裁判所提出文書および共同アドバイザリーによると、疑われる標的には、サウスカロライナ州の電力会社、日本およびポーランドの空港、台湾の天然ガスおよび電力会社、および多国籍NGOが含まれるとThe Registerにより報告され、The Recordにより確認されている。台湾の大学に関しては、2つのツールは異なるアクティビティを反映している：FishHubは約20の台湾大学に侵害されたと報告されており、一方MicroScanアクティビティは2つの台湾大学に関連していると司法省報告によると述べられている。これら2つの数字は、統一されたカウントに組み合わせるべきではない。これらは裁判所文書およびアドバイザリー請求から引き出された疑いであり、独立して裁定された知見ではない。共同アドバイザリーはさらに、政府機関、重要製造、医療、法執行、情報技術、教育、および宗教組織をスコープ内のセクターとして特定している。これは狭く焦点を絞ったスパイ活動ではない。これは、組織の広いトポロジー全体にわたってプレゼンスを達成するための体系的な努力のようである。ほとんどの場合、1つの特性を共有している — それらは、テクノロジーを運用または依存しており、これが中断された場合、物理的または社会的な結果を生じさせる。エネルギー、航空、製造、または通信事業をサポートするGSOCチームにとって、標的リストは好奇心ではなく、セクターレベルの警告である。

アドバイザリーに文書化されている技術的方法は、単なるITチェックリストとしてではなく、運用上の観点から理解する価値がある。アクターは、MicroScanを通じた自動脆弱性スキャン、フィッシング、VPNインフラストラクチャ、危殆化したインターネット接続デバイスをボットネットに組み立てること、および生きた土地技術（つまり、正当なシステムツールを使用した横移動、これにより活動は通常の管理トラフィックに混在する）を使用した。この組み合わせは、OTネットワーク侵入シナリオで特に検出が困難である。レガシーシステムはエンタープライズIT環境で利用可能なログの粒度に欠ける可能性がある。重要なのは、米国職員は、中国関連アクターが、実際には破壊的アクションが発生していない場合でも、将来の中断を可能にする方法で、重要インフラネットワーク内に自分たちを配置している場合があると評価したことである。アドバイザリーは、すべての危殆化された環境がサボタージュのために事前にステージングされたことを主張していないが、受動的アクセスと事前配置された能力の区別は、個々のオペレーターがまだ外部から答えることができない質問である。企業セキュリティディレクターにとって、この曖昧さ自体がリスクである：可視的なインシデントの不在は、問題の不在を確認しない。

アジア太平洋サイバーリスク次元は、台湾、日本、またはより広い地域に接触する運用フットプリント、サプライチェーン依存性、またはデータフローを持つ組織に特に関連している。台湾の電力および天然ガス会社は疑われる標的の中に見えており、多政府アドバイザリーは調整された評価を反映している — 一方的な米国主張ではない — このアクティビティが進行中で、地理的に分散していることを。NGO職務配慮プログラムをサポートしている、または地域で人道的ロジスティクスを運用している組織も、多国籍NGOが疑われる標的として特定されたことに注意すべきである。これは、非営利および市民社会団体が中立的なパーティではなく、インテリジェンス収集の機会として扱われるパターンと一致している。アジア太平洋エクスポージャーを管理するGSOCチームは、説明できないエッジデバイスの動作、異常なVPN認証パターン、および工学または運用ファイルへの不正アクセスを、IT昇格のみではなく、物理的な結果評価を保証するインジケーターとして扱うべきである。別として、2026年10月6日付のFBIとシークレットサービスの共同アドバイザリーによると、FortiBleedキャンペーンは194カ国全体で報告された86,644デバイスに影響を与えるFortinet脆弱性を悪用した。これはSecurity Affairsにより詳しく説明されている。これは、現在の期間がペリメーターインフラ全体で昇格した、同時の圧力を表していることを示唆している。Fortinetまたは同様の製品を使用しているチームは、そのアドバイザリーを同時のリスク信号として相互参照すべきである。

より広いインテリジェンス図は、単一のイベントではなく、構造的な状態を指している。破壊的なドメイン押収と公開帰属は重要な信号であるが、テイクダウン前に既に危殆化されたネットワークから既存のアクセスを削除しない。アドバイザリーで指名された国で重要インフラを運用している、またはベンダー関係または共有プラットフォームを通じてそれらのネットワークに接続されている組織は、積極的に10月8日前の数ヶ月からのログを確認する必要がある。単に新しい侵入を監視するだけではない。リスク管理責任者が経営リーダーシップにリスクを通信する任務を与えられている場合、関連するフレーミングは継続性である：現在目に見えないアクセスが活性化された場合、物理的操作を含むどの機能が影響を受けるか？脅威アクターインフラストラクチャデータ、政府アドバイザリーフィード、およびネットワーク隣接オープンソースインジケーターを集約する地政学的インテリジェンスおよびOSINTプラットフォームは、GSOCアナリストがアドバイザリーがインシデントになる前に、特定の資産フットプリントに対する警告を相互参照するのに役立つことができる。

GeoBitライブデモをリクエスト