国家級ハッキングツール流出が示す新たな企業リスク

国家の武器がサイバー犯罪市場に流通する構造

2017年、NSAが開発したWindowsバックドア「EternalBlue」が盗まれた。翌年、そのコードは北朝鮮が仕掛けたWannaCryランサムウェアとして世界中のPCを暗号化した。政府製の攻撃ツールが民間に被害を与えるパターンは、すでに前例がある。

今回の「Coruna」は、その構造をさらに加速させている。TechCrunchの報道によれば、CorunaはL3Harrisのハッキング部門Trenchantが開発した可能性が高い。Five Eyes同盟国への独占販売を前提とした政府向けツールが、なぜ犯罪者の手に渡ったのか。

答えは内部犯行だ。Trenchantの元ゼネラルマネージャーPeter Williamsが2022年から2025年半ばにかけて、ハッキングツール8本をロシア企業「Operation Zero」に売却した。売却額は130万ドル。Williamsは7年の懲役刑を受け、米財務省はOperation Zeroを制裁した。だが、ツール自体はすでに流通している。

流出したCorunaは23の脆弱性を連鎖させ、5通りの経路でiPhoneに侵入できる設計だ。最初はロシアの情報機関系グループUNC6353がウクライナの少数のターゲットに使い、次に中国の金銭目的のハッカーが大規模キャンペーンに転用した。Googleのセキュリティ研究者はこれを「中古エクスプロイト市場の出現」と表現している。

イランで何が起きたか——「同時多層攻撃」の現実

TechCrunchの報道によると、2026年3月2日の早朝、米国とイスラエルによる空爆がテヘランを含むイラン全土を標的にした。最高指導者ハメネイ氏と最高幹部が死亡した。

物理的攻撃と並行して、イランのインターネット接続はほぼゼロまで落ちた。Cloudflareがこれを確認し、Kentikのインターネット分析ディレクターDoug MadoryはBlueskyへの投稿で「空爆開始直後に接続が崩壊した」と述べている。Jerusalem Postは、サイバー攻撃がイラン側の対応能力を制限する目的で組み込まれていたと報じた。

さらに地上では奇妙な事象が起きた。500万件以上ダウンロードされている祈りのアプリ「BadeSaba」が乗っ取られ、ユーザーに「清算の時が来た」「政府部隊に立ち向かう者に恩赦を与える」という通知が送られた。アプリを通じた心理戦だ。実行主体は現時点で不明のままである。

この日の攻撃は「爆撃・通信遮断・端末乗っ取り・心理工作」が四層同時に展開された。AmazonはUAEの中東データセンターでイランのミサイル着弾直後に障害が発生したと報告しており、物理インフラとデジタルインフラの境界がすでに消えていることを示している。

「iOS最新版なら安全」は通用するか

Corunaが対象とするのはiOS 13からiOS 17.2.1、つまり2023年12月以前のバージョンだ。iOS 17.3以降にアップデートしていれば直接の対象外になる。それだけ聞けば「アップデートすれば終わり」に聞こえる。

しかし問題の本質は別にある。今回のCorunaは、2023年にKasperskyが初めて公開したOperation Triangulationで使われたコンポーネントを含んでいた。Googleの研究者は、PhotonとGalliumという二つのエクスプロイトがゼロデイ（ベンダーが未認識のため対策が存在しない脆弱性）として転用されていたことを確認している。政府機関が「秘密の武器」として抱えているゼロデイは、流出した瞬間にパッチなしで世界中の端末を攻撃できる。

攻撃の入口は「悪意のあるリンクを踏む」だけだ。メール、SMS、メッセージアプリ経由で送られたリンクを開くだけで、iPhoneの防御を回避される。特別な操作は何も要らない。

「secondhand（中古）エクスプロイト」の市場が出現しており、金銭目的のハッカーに販売されて価値が引き出されている——Googleのセキュリティ研究者

国家が研究開発した攻撃コードが、流出後に「値引き販売」されて犯罪市場に出回る。企業のセキュリティ担当者が想定すべき脅威の水準が、国家レベルの技術にまで引き上がったということだ。

企業の危機管理に何が足りないか

今回の一連の事案が日本企業に突きつけるのは、三つの問いだ。

端末管理は「最新版維持」で終わっていないか

Corunaの被害範囲はiOS 17.2.1以前。裏返せば、社員の業務スマートフォンが一世代古いだけで攻撃対象になる。MDM（モバイルデバイス管理）ツールで全端末のOSバージョンを可視化し、未更新端末を即座に隔離するポリシーが必要だ。「自分のスマホは自分で管理」という企業文化は、今のリスク水準に合っていない。

BCPはインターネット遮断を想定しているか

イランでは空爆と同時にインターネット接続がゼロになった。日本企業の多くはクラウドサービスやSaaSを業務の中核に置いている。海底ケーブルへの物理攻撃、データセンターへの着弾、国家レベルのルーティング操作——これらはもはやSFではない。Amazonが報告したUAEデータセンターの障害は実際に起きた。オフライン業務フロー、代替通信手段、ローカルバックアップの三点を見直す時期にある。

「攻撃を受けた後」の対応フローは機能するか

BadeSabaの乗っ取りでは、500万人以上のユーザーがデバイス上で偽通知を受け取った。企業が提供するアプリやサービスが乗っ取られた場合、ユーザーへの通知からサービス停止の判断まで、誰が何時間以内に何をするかが決まっているか。インシデント対応計画は「攻撃を受けた想定」で年1回は訓練しなければ、計画として機能しない。

まとめ

国家が開発した攻撃ツールは流出し、犯罪者が使い、一般企業の社員のiPhoneを狙う。地政学的な有事はインターネット遮断とデータセンター障害を同時に引き起こす。この二つが同時進行する現実になった以上、セキュリティ対策をIT部門だけの問題として切り離すことはできない。

まず今週、社内端末のOSバージョン一覧を取得してほしい。そこに現れる数字が、自社のリスク水準を正直に教えてくれる。