台湾併合をみすえて暗躍する中国国家安全部

2012年以降、中国は世界でもっとも多くの脆弱性を悪用した攻撃を行っていると言われている...... REUTERS/Florence Lo

＜2012年以降、中国は世界でもっとも多くの脆弱性を悪用した攻撃を行っていると言われている。その実態は......＞

他国を圧倒する中国サイバー部隊の規模とゼロデイ脆弱性

中国やロシアが世界各国に対してサイバー攻撃を仕掛けていることはよく知られている。中国のサイバー能力は近年急速に向上し、総合的な力ではアメリカに劣るものの、特定の能力ではアメリカを上回るまでになったと言われている。

たとえば中国はアメリカ国内のインフラ対して効果あるサイバー攻撃を行えることが、国家情報⻑官室の2023年年次脅威評価で指摘されている。また、昨年のアメリカの米中経済・安全保障調査委員会(USCC)で中国の知財窃取やスパイ活動などが報告され、想像以上の実態が明らかにされた。そこで強調されていたのは中国のサイバー攻撃の規模と保有している脆弱性情報だ。脆弱性とはソフトウェアなどに存在するバグのようなものであり、悪用することでシステムを乗っ取ったり、破壊したりできる。中でも深刻なのはゼロデイ脆弱性と呼ばれる未報告の脆弱性だ。ソフトウェアの開発元や関係機関に報告されていないので、防御措置が存在しない。この脆弱性を狙った攻撃に対しては対抗手段が限られるためきわめて危険である。ゼロデイ脆弱性はサイバー攻撃の重要な原材料、いわばプルトニウムのようなものと言える。中国はこの脆弱性情報においてアメリカを凌駕し、世界をリードしている可能性が高いとされている。

アメリカのIT企業の多くは自社製品の脆弱性を発見してくれた個人や団体に報奨金を支払っている。2021年、アメリカ企業が報奨金を支払った相手の85％がアメリカ以外の研究者だった。アメリカ国内の研究者は15％で、中国はアメリカに次いで10％となっている。実際にはもっと多くのゼロデイ脆弱性を保有している可能性が指摘されている。アメリカのIT企業のサービスや製品は世界中で利用されており、脆弱性を利用すれば国家機密や企業機密の窃取、ランサムウェアなどでの金儲け、重要インフラの攻撃に使用できる。アメリカ以外の国の個人や団体が正直に全てを公表して悪用していないと考えるのは非現実的だろう。

2012年以降、中国は世界でもっとも多くの脆弱性を悪用した攻撃を行っていると言われている。たとえば2021年3月上旬、米国マイクロソフト社のExchangeサーバーの未知の脆弱性を悪用した攻撃で全世界で最大25万人が被害を受けた。2020年には台湾の国営エネルギー企業CPC Corporationと重要インフラ関連の10の組織がサイバー攻撃によって被害を受けた。

なお、中国ではサイバー攻撃と偽情報やナラティブ戦などのデジタル影響工作を区別しておらず、サイバー攻撃と言った場合両方の攻撃を指す。組織上もひとつのサイバー攻撃部隊が両方を行うことになる。