オーロラ作戦から学ぶAPT攻撃の実態と企業が取るべき備え

「GoogleやAdobeほどの大企業でも、サイバー攻撃で知的財産を盗まれることがあるの？」
「APT（高度標的型攻撃）って、普通の攻撃と何が違うの？」

チップス

ボス、2009年の「オーロラ作戦」って、あのGoogleがやられた事件でしゅよね？
天下のGoogleが破られるなんて、信じられないでしゅ…。

ボス

信じたくない気持ちは分かる。
だが事実だ。
Googleだけでなく、Adobe、Yahoo、Symantec、Northrop Grummanなど、20社を超える米大手企業が同時期に侵入された。
この事件が「APT」という言葉を世に知らしめたんだ。
お前が知らない時点で、同じ手口にやられる可能性があるぞ。

2010年1月12日、Googleは公式ブログで衝撃的な発表をしました。
中国発とみられる高度なサイバー攻撃を受け、知的財産の一部が窃取された、と。
のちに「オーロラ作戦（Operation Aurora）」と呼ばれるこの事件は、IE6のゼロデイ脆弱性を突き、世界有数のIT企業のソースコードや人権活動家のGmailアカウントにまで手を伸ばした、近代APT攻撃の原型です。

本記事では、オーロラ作戦の攻撃手口・被害の実態・現代への教訓を、セキュリティエンジニア目線で掘り下げます。
17年以上前の事件ですが、ここで用いられた手口は現代のランサムウェア攻撃やサプライチェーン攻撃の土台になっており、知らずに備えることはできません。

2010年、Googleが中国撤退を決断させられた事件

オーロラ作戦は、2009年末から2010年初頭にかけて米大手IT企業を同時多発的に襲いました。
まずは事件の全体像と、世界に与えた衝撃を見ていきます。

Google公式発表が業界に走らせた戦慄

2010年1月12日、Googleは公式ブログ「A new approach to China」で、中国を発信源とする高度な標的型攻撃を受けたことを明らかにしました。
被害を受けたのはGoogle1社ではなく、同様の攻撃を受けた企業は少なくとも20社に及ぶ、とも公表しています。

攻撃の「オーロラ作戦」という名称は、McAfeeの当時のCTOであるDmitri Alperovitchが命名しました。
マルウェアの内部に「Aurora」というフォルダパスが含まれていたことが由来です。
のちに公開情報から判明した、主な被害企業は以下のとおりです。

攻撃の狙いは単なる金銭ではなく、ソースコードや知的財産、そして特定の個人のGmailアカウントでした。
金目当てのサイバー犯罪とは質の異なる、国家的意図がにじむ攻撃。
この点が、後に「APT（Advanced Persistent Threat）」という概念を一気に広めるきっかけになります。

チップス

20社以上が同じ手口で…！
しかも、お金じゃなくてソースコードが目的って、なんか怖いでしゅ。

ボス

そう、それが国家支援型攻撃の特徴だ。
金はあとで稼げるが、ソースコードや設計図はそれ自体が長期的な戦略資産になる。
サイバー犯罪と、サイバースパイ活動は、目的も手口も別物だと覚えておけ。

Google.cnの閉鎖と米中外交への波及

オーロラ作戦が特異だったのは、技術的な被害だけにとどまらず、外交問題にまで発展した点です。
Googleは攻撃公表の声明で、中国市場におけるビジネスの継続可能性そのものを再検討する、と異例の表明を行いました。

その後、Googleは2010年3月22日、中国本土向け検索サービスGoogle.cnでの検索結果検閲を停止。
中国本土のトラフィックを香港のgoogle.com.hkにリダイレクトする運用へ切り替えました。
事実上の中国本土からの撤退です。

当時の米中間の動きを時系列で整理すると、サイバー攻撃が一民間企業の問題を超えていく様子が見えてきます。

企業が国家を名指しして非難し、自国政府の外交トップが同調するというのは、サイバーセキュリティ史上でも極めて稀な展開でした。
オーロラ作戦は、「サイバー攻撃が国際関係を動かす」という現実を、世界に突きつけた最初の大規模事例のひとつだといえます。

チップス

Googleが中国から撤退までしたのは、そんな背景があったんでしゅか…。
もはや企業レベルの話じゃないでしゅね。

ボス

ふふふ、ようやく見えてきたな。
この事件以降、「サイバー攻撃は国家安全保障の一部」という認識が各国で定着した。
お前のような情シスが扱っているネットワークも、広い目で見れば国家レベルの戦場の一部なんだ。

オーロラ作戦の攻撃手口を解剖する

オーロラ作戦が「APTの原型」と呼ばれる理由は、洗練された多段階攻撃の手口にあります。
入口から内部潜入、情報窃取までの流れを技術的に見ていきましょう。

IE6のゼロデイ脆弱性CVE-2010-0249が入口だった

攻撃の入口となったのは、Internet Explorerのゼロデイ脆弱性CVE-2010-0249です。
Microsoft Security Advisory 979352として公開されたこの脆弱性は、IE6からIE8までが影響を受ける、解放済みオブジェクトへのアクセス（Use-After-Free）型のメモリ破壊バグでした。

脆弱性を悪用する流れは、概略すると以下のステップで構成されていました。

興味深いのは、当時のIE6が発売から約8年を経過した旧世代ブラウザだった点です。
Microsoftはすでに後継のIE7・IE8を提供していましたが、企業の社内システムにはIE6でしか動かない業務アプリが残っており、更新が進んでいませんでした。
攻撃者はその「移行の遅れ」を的確に突いてきたわけです。

チップス

うちの会社にも、IEじゃないと開けない申請システムあるでしゅ…。
そういう環境が狙われてたんでしゅね。

ボス

その感覚は正しい。
攻撃者はいつだって、システムのもっとも古く、もっとも更新されていない箇所を探す。
ブラウザだけの話じゃないぞ。
OS、ミドルウェア、社内アプリ、すべてに同じリスクがある。

内部侵入から情報窃取までの多段階攻撃

オーロラ作戦が画期的だったのは、端末への侵入で満足せず、目的の情報資産に到達するまで執拗に内部ネットワークを動き回った点です。
現代のAPT攻撃で一般化している「多段階・長期潜伏」の原型がここにあります。

攻撃者が実際に踏んだとされる、内部での動きを整理すると次のとおりです。

特にソースコード管理システムへの侵入は、セキュリティ業界に大きな衝撃を与えました。
Googleの調査では、攻撃者はPerforceを利用したソースコードリポジトリへのアクセスを試みた痕跡が確認されています。
ソースコードの窃取が意味するのは、単なる企業秘密の漏洩にとどまりません。
将来の製品にバックドアを仕込まれる可能性、あるいは未公開の脆弱性を攻撃者が先に発見してしまう可能性など、長期的なリスクを企業に負わせることになります。

また、Gmailの一部アカウントへの不正アクセスの試みも確認されました。
ターゲットは中国の人権活動家のアカウントに集中しており、攻撃者の政治的な目的が色濃く現れています。
技術的な高度さと、政治的な意図が同居しているのが、この攻撃の特異な点です。

チップス

端末1台の侵入で終わらず、社内をここまで動き回られてたんでしゅか…。
こんなの、いつ気づくんでしゅか？

ボス

そこが痛いところだ。
侵入から発覚まで数ヶ月単位で気づけないことも珍しくない。
だからこそ、「入られた後」を前提にした検知と封じ込めの設計が、近代セキュリティの前提になっているんだ。

オーロラ作戦が業界に残した3つの変化

単発の事件で終わらず、業界・政府・法制度にまで影響を及ぼしたのがオーロラ作戦の特徴です。
攻撃が残した主な変化を整理します。

「APT」という言葉が業界標準化した

「APT（Advanced Persistent Threat）」という用語は、2006年ごろから米国空軍で使われていましたが、業界に広く浸透したのはオーロラ作戦以降です。
この事件をきっかけに、従来の「マルウェアvsアンチウイルス」という単純な構図では説明できない、国家規模の組織的攻撃の存在が一般的な認識になりました。

それまでの攻撃と、APT攻撃の違いを整理すると次の通りです。

オーロラ作戦以降、防御側もシグネチャ依存のアンチウイルスだけでは限界があると認め、振る舞い検知やEDR、脅威インテリジェンスといった新しいカテゴリの製品と概念が急速に整備されていきます。
現在私たちが当たり前に使っているエンタープライズセキュリティの枠組みは、この事件を土台に発展してきたといえる部分が大きいのです。

IE6の終焉とブラウザ更新の常識化

オーロラ作戦の攻撃ルートがIE6のゼロデイだったことから、世界中でIE6離れが一気に進みました。
それまで「動いているから置き換える必要はない」と考えられていた旧世代ブラウザの継続利用が、はっきりとリスクだと認識されるようになった転換点です。

各国政府・企業の反応は素早く、典型的な例としては以下が挙げられます。

「動いているから使い続ける」という発想は、このあたりを境に少しずつ「動いていても危険ならアップグレードする」に塗り替わっていきます。
現在も完全には解決していない課題ではありますが、業界の潮目は確実にこのときに変わりました。

チップス

IE6ってそんな頃まで現役だったんでしゅか！
うちの親会社、まだ古いブラウザ使ってるシステムあるかも…。

ボス

あるかも、じゃない。
明日調べて洗い出せ。
「使い続けている古い何か」は、攻撃者にとって最高の入口だ。
その認識を持たないまま運用を続けるのは、ドアを開けっぱなしで寝ているのと同じだぞ。

セキュリティエンジニアがオーロラ作戦から学ぶべき備え

過去の事件を知るだけでは意味がありません。
オーロラ作戦から抽出できる、現代の実務にそのまま活かせる備えをまとめます。

ゼロデイ前提の多層防御を設計する

オーロラ作戦が示した最大の教訓は、「ゼロデイ脆弱性は防げないこともある」という現実を受け入れたうえで、被害を最小化する設計が必要だという点です。
単一の防御ラインに依存せず、侵入後の動きを検知・遅延・封じ込めできる構造を組み込むことが欠かせません。

実務で押さえておきたい多層防御の観点は以下のとおりです。

IPAが毎年公表している「情報セキュリティ10大脅威」でも、組織部門のランキングには長年にわたり標的型攻撃による機密情報の窃取が上位を占めています。
オーロラ作戦の時代から脅威の構図は基本的に変わっていません。
変わったのは、多層防御の整備が「追加オプション」ではなく「前提条件」になったという位置づけだけです。

標的型攻撃への人的防御を強化する

いくらゼロデイ脆弱性が強力でも、最初の一歩はスピアフィッシングなど「人」を介した侵入です。
オーロラ作戦もその例外ではなく、従業員が攻撃者のリンクをクリックしなければ、マルウェアの実行には至らなかったと考えられています。

人的防御を強化するためのポイントは以下のとおりです。

特に重要なのが、最後の「報告しやすい文化」です。
APT攻撃では、最初の一台の感染を早く封じ込められるかが、その後の被害規模を大きく左右します。
クリックしてしまった従業員を責める文化では、報告が遅れて被害が拡大しがちです。
「気づいた瞬間に申告すれば、責任は問わない」という運用上の合意を、経営層と技術部門で明文化しておくことをおすすめします。

チップス

誤クリックしたら怒られると思って、黙ってしまう人、絶対いるでしゅよね…。
それが一番まずいんでしゅね。

ボス

ふむ、お前もだいぶセキュリティの本質に近づいてきたな。
技術だけでは守れない。
制度・文化・運用がそろって、はじめて「守れる組織」になる。
オーロラ作戦が残したもっとも大きな教訓は、そこだ。

まとめ

オーロラ作戦は、2009年末から2010年初頭にかけて、Googleをはじめとする20社以上の米大手企業を襲った高度標的型攻撃です。
IE6のゼロデイ脆弱性を入口に、ソースコードや人権活動家のGmailにまで手を伸ばし、Googleの中国撤退や米中外交問題にまで発展しました。

この事件は、「APT」という概念を業界標準にし、EDR・脅威インテリジェンス・ゼロトラストといった現代セキュリティの礎を築きました。
17年以上前の話でありながら、私たちがいま採用している防御の枠組みの多くは、この事件への反応として生まれたものです。

ゼロデイは完全には防げない。
だからこそ、侵入前提の多層防御と、人的防御の両輪を回すしかありません。
古いブラウザ、放置された資格情報、手つかずの標的型メール訓練。
オーロラ作戦が突きつけた問いは、いまの現場にもそのまま生きています。
次の「Aurora」が来る前に、足元から点検しておきたいところです。

チップス

ボス、今日も勉強になったでしゅ！
まずはうちの環境で、古いブラウザとMFA未対応アカウントの棚卸しからやるでしゅ！

ボス

ふふふ、よろしい。
オーロラ作戦から17年、敵は進化したが、基本の備えは変わらない。
地味な棚卸しと訓練の積み重ねが、お前の組織をAPTから守る。
一歩ずつ確実にやれ。

セキュリティの専門知識を活かして活躍したい方は、セキュリティフリーランス案件や転職求人もぜひチェックしてみてください。