チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「メールサーバーってそんなに狙われるの？」
「既知の脆弱性なのに、なぜまだ悪用されるんだろう？」
チップスボス、中国系のハッカーが大学のメールサーバーを狙ってるってニュースがあったでしゅ。Roundcubeって何でしゅか？
ボスRoundcubeはオープンソースのウェブメールソフトウェアだ。大学や研究機関で広く使われているが、パッチが遅れがちな組織にはこれが致命傷になる。2026年7月、中国との関連が疑われるUNK_MassTractionが、既知の脆弱性を使って米国・カナダの大学研究者の認証情報を組織的に盗んでいたことが判明した。
「メールサーバーの脆弱性は外部からは分からない」と思いがちですが、攻撃者は悪意のあるメールを1通送るだけで侵害を完結させます。
この記事では、大学の研究情報を狙うサイバースパイがどのような手口を使ったかを解説します。
研究情報の窃取は日本の大学・研究機関にとっても無関係ではありません。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
攻撃は少なくとも2026年5月から続いていたとProofpointが報告しています。
Proofpointが「UNK_MassTraction」と追跡するこの攻撃グループは、中国に関連する脅威アクターとの関連が疑われています。
使用するマルウェア（SNOWLIGHTローダー、VShell）が過去の中国系グループと重複すること、初期フィッシングメールに中国語のアーティファクトが見られることが根拠です。
標的は米国・カナダの大学の物理学・工学部門で、特に以下の分野の管理者・教授が狙われました。
チップスなんでメールサーバーが狙われるんでしゅか？もっと重要なサーバーがあるんじゃないでしゅか？
ボスインターネットに公開されているからだ。VPNサーバーと同じで、外から到達できる「玄関」になる。メールサーバーを乗っ取れば、そこを起点に内部ネットワーク全体に侵入できる。中国系グループはこの手法を得意としている。
Proofpointの研究者は「メールサーバーをVPN集約装置やその他のリモートアクセスノードと同レベルで保護すべき」と警告しています。
インターネット公開されたメールサーバーは、内部ネットワークへの足がかりとして悪用されやすい攻撃対象です。
今回の攻撃チェーンは巧妙に多段階で構成されています。
攻撃は研究者への標的型フィッシングメールから始まります。
送信者には、侵害済みの実在アカウントや、DMARCポリシーが緩い正規ドメインのなりすましが使われます。
被害者がRoundcubeでそのメールを開くと、XSS脆弱性（CVE-2024-42009、CVSS 9.3）が自動実行されます。
すると「IceCube」と呼ばれるペイロードが動き出し、ブラウザに保存された認証情報と2要素認証コードを盗み出します。
続いてCVE-2025-49113（CVSS 9.9）を使ってPHPウェブシェル「SquareShell」を設置し、サーバーへの持続的なアクセスを確立します。
さらにVShell（Go言語製バックドア）を展開して、インタラクティブなシェルアクセスとポート転送を実現します。
| フェーズ | 手口・ツール |
|---|---|
| 初期侵入 | 標的型フィッシングメール（侵害済みアカウント・ドメインなりすまし） |
| 認証情報窃取 | CVE-2024-42009（XSS）→ IceCubeペイロード → 認証情報・2FAコード奪取 |
| 持続的アクセス | CVE-2025-49113（RCE）→ SquareShell（PHPウェブシェル）設置 |
| 内部展開 | VShell（Goバックドア）でシェルアクセス・ポート転送を確立 |
チップスCVE-2024-42009って2024年の脆弱性でしゅよね？なんで今でも悪用されてるんでしゅか？
ボス大学など公的機関はパッチ適用が遅れがちだ。攻撃者はそれを分かった上で「古い既知の脆弱性」を使い続ける。高度な技術は不要で、パッチ未適用の組織を大量スキャンで見つけるだけでいい。
対策として実施すべき事項をまとめます。
ボスUNK_MassTractionの手口で注目すべきは、高度なゼロデイを使わず既知の脆弱性だけで目的を達成した点だ。パッチを当てない組織は、国家支援型攻撃者にとって「簡単な標的」になる。
チップスうちの大学もRoundcube使ってたでしゅ……すぐパッチ確認しましゅ！
今回の攻撃が示したのは、国家安全保障に関わる研究情報は常に諜報活動の標的であり、メールサーバーがその侵入口になるという現実です。
日本の大学・研究機関も例外ではなく、Roundcubeやその他のウェブメールソリューションのパッチ管理を定期的に見直す必要があります。
セキュリティ対策の基本は、「既知の脆弱性を放置しない」という地道な積み重ねです。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
