| APT攻撃とは？標的型攻撃との違いと攻撃手口・対策を解説 | |
|---|---|
| 作成日時 26/07/14 (08:29) | View 205 |
半年近くにわたり気づかれないまま内部に居座る攻撃者がいるという事実が、ここに表れています。こうした長期潜伏型の攻撃の中心にいるのが、国家や国家支援を受けた攻撃者集団によるAPT攻撃です。
同レポートでは、諜報グループが観測された脅威クラスターに占める割合が前年から倍増し16%に達しており、国家支援型の脅威は一過性の流行ではなく、防御側が向き合い続けるべき構造的な脅威になっています。
実際、日本でもシンクタンクや政府、政治家を狙う活動が警察庁とNISCの注意喚起として公表されており、大企業や重要インフラは現実の標的になっています。
記事では、APT攻撃とは何か、標的型攻撃との違いを比較表で整理したうえで、攻撃者がどう動くのかをMITRE ATT&CKをもとに段階的に解き明かし、大企業の情報システム部門とSOCが取るべき検知と対策の方向性を解説します。
APT攻撃（Advanced Persistent Threat：高度持続的脅威）とは、国家や国家支援を受けた攻撃者集団が、特定の組織を標的に高度な技術を用いて長期間にわたり潜伏し、機密情報の窃取やシステム破壊を継続的に狙うサイバー攻撃です。
無差別にばらまかれる一般的なサイバー攻撃とは異なり、攻撃者は明確な意図と潤沢なリソースをもって特定の標的を執拗に狙い続けます。
CrowdStrikeはAPTを、検知を回避しながら長期的なアクセスを維持する洗練された攻撃者として定義しています。重要なのは、APTが特定のマルウェアやツールの名前ではなく、背後にいるアクターの性質と行動様式を指す概念だという点です。
以下では、その名が示す3つの要素と一般的なサイバー攻撃や標的型攻撃との違いを掘り下げます。
APTという呼称は、攻撃の本質を3つの単語で言い表しています。
Advanced（高度）は、攻撃手法の洗練度を意味します。
攻撃者は、ゼロデイ脆弱性のエクスプロイトやOSに標準で備わる正規ツールを悪用するLiving off the Landといった手口を使い、シグネチャ型の検知をすり抜けます。実際にM-Trends 2026では、ゼロデイの悪用が攻撃の主要な初期侵入経路であり続けていることが示されており、防御側が把握する前の脆弱性が突かれています。
Persistent（持続的）は、単発で終わらない執拗さを指します。
APTは目的を達成するまで数か月から数年にわたり潜伏を続けます。冒頭で触れた諜報目的の攻撃が122日という潜伏期間を記録するのは、まさにこのPersistentの性質の表れです。
Threat（脅威）は、背後に明確な意図とリソースを持つ組織的なアクターが存在することを意味します。
個人のハッカーではなく、国家の情報機関や軍、あるいはその支援を受けた集団が、地政学的な目的のもとに継続的な作戦として攻撃を遂行します。この3要素がそろうことで、APTは通常のサイバー攻撃とは質的に異なる脅威になります。
結論からいえば、標的型攻撃はAPTの一形態であり、APTは国家支援や持続性、諜報や破壊という目的の点でより限定された概念です。3つの攻撃を観点ごとに整理すると、違いが明確になります。
|
観点 |
一般的なサイバー攻撃 |
標的型攻撃 |
APT攻撃 |
|
標的 |
不特定多数 |
特定の組織 |
特定の組織・重要インフラ |
|
攻撃者 |
個人・犯罪グループ |
犯罪グループ |
国家・国家支援型グループ |
|
目的 |
金銭・無差別 |
金銭・情報窃取 |
諜報・機密窃取・破壊・地政学的目的 |
|
持続性 |
単発・短期 |
中期 |
長期潜伏（数か月〜数年） |
|
検知難易度 |
低〜中 |
中 |
高（正規ツール悪用・低頻度活動） |
一般的なサイバー攻撃は、ばらまき型のフィッシングや無差別なランサムウェアのように、誰が引っかかってもよいという発想で実行されます。
標的型攻撃は特定の組織を狙い撃つ点で一段高度ですが、その動機は多くの場合、金銭や情報の窃取にあります。標的型攻撃メールやスピアフィッシングで特定企業の従業員を狙う手口が典型です。
APT攻撃が決定的に異なるのは、攻撃者が国家または国家支援型のグループであり、その目的が諜報や機密窃取、システム破壊といった地政学的な意図に根ざしている点です。攻撃者は金銭的な採算を度外視してでも標的に居座り続け、ゼロデイやサプライチェーン攻撃を駆使して長期の潜伏を実現します。
標的型攻撃の延長線上に、最も洗練され持続的な領域としてAPTが位置づけられる、と理解すると整理しやすくなります。
APT攻撃を理解するには、攻撃者の動きを時間軸に沿った一連の作戦として追うことが効果的です。攻撃者は行き当たりばったりで動いているわけではなく、標的を調べ、侵入し、足場を固め、内部を移動し、目的を実行するという再現性のある段階を踏みます。
この一連の流れはCyber Kill ChainやMITRE ATT&CKの戦術フローとして体系化されており、各段階を技術IDまで分解することで、どこに検知の機会があるかが見えてきます。ここでは攻撃者の思考順に沿って、ライフサイクルを4つの局面で読み解きます。
APT攻撃の起点は、標的を徹底的に調べ上げる偵察です。攻撃者はOSINT（オープンソースインテリジェンス）を使って標的組織の構造やキーパーソン、利用しているシステムを特定し、攻撃の入口を探します。MITRE ATT&CKはこの段階をTA0043（Reconnaissance）として整理しています。
侵入の手段として多用されるのが、特定の人物に的を絞ったスピアフィッシングや標的がよく訪れるサイトを改ざんして待ち伏せる水飲み場型攻撃、そしてゼロデイ脆弱性のエクスプロイトです。
CrowdStrikeの観測では、2026 Global Threat Reportにおいて公開前のゼロデイ脆弱性の悪用が前年比42%増加しており、国家支援型の攻撃者ほどパッチの存在しない脆弱性を初期侵入に活用する傾向が強まっています。
近年さらに見過ごせないのが、初期アクセスそのものをダークウェブで調達するケースです。攻撃者は自ら侵入する手間を省くため、すでに侵害済みの企業へのアクセス権を初期アクセスブローカー（IAB）から購入し、いきなり内部活動から作戦を始めることがあります。
この市場構造については、記事の後半（ダークウェブとの接続セクション）で詳しく解説します。
侵入に成功した攻撃者がまず行うのは、足場を失わないための永続化です。端末が再起動されても自動的に活動を再開できるよう、攻撃者はバックドアを設置し、自動起動の仕組みに登録します。
バックドアこそが、APTが数か月から数年という長期潜伏を実現する中核の手段です。一度仕込まれたバックドアは、表面的なマルウェア駆除では取り除ききれず、攻撃者の再侵入経路として残り続けます。
足場を固めた攻撃者は、次に権限昇格を狙います。一般ユーザーの権限では触れられる範囲が限られるため、OSの脆弱性や設定の不備を突いて管理者権限を奪取します。管理者権限を手にすれば、検知を回避するためのログ改ざんや、次の段階である横展開（ラテラルムーブメント）の土台が整います。
永続化と権限昇格をひそかに完了させることが、その後の長期作戦の成否を左右します。
足場と権限を得た攻撃者は、本当に狙う資産へ向けて内部を横方向に移動します。この横展開で多用されるのが、窃取した正規の認証情報を使ったなりすましです。
MITRE ATT&CKがT1078（Valid Accounts）として分類するこの手口では、攻撃者が正規ユーザーとして振る舞うため、活動が通常の業務アクセスと見分けがつきにくくなります。
同時に攻撃者は、外部の指令サーバーとの通信経路を確保します。このC2通信では、攻撃者は命令の受信や追加ツールの送り込みを行います。検知を避けるため、C2トラフィックはHTTPSや正規のクラウドサービスへの通信に偽装され、暗号化された正常な通信の中に紛れ込みます。
正規の認証情報と正規に見える通信を使うこの段階こそ、APTが従来型の監視ですり抜ける理由の本質です。
潜伏の最終目的が、データの持ち出しです。攻撃者は窃取した機密情報を圧縮し暗号化したうえで、確立済みのC2チャネル経由で外部へ送り出します。MITRE ATT&CKはこれをT1041（Exfiltration Over C2 Channel）として分類しています。すでに正常に見えるC2経路が通っているため、データの流出も正規の通信に紛れ、検知が困難になります。
諜報型のAPTがデータを静かに抜き取る一方で、破壊型のAPTは最終段階でワイパーやランサムウェアを展開し、システムそのものを停止させます。ここまでの流れを攻撃ライフサイクルとして対応づけると、次のようになります。
|
局面 |
攻撃者の動き |
主なMITRE ATT&CK戦術・技術 |
|
偵察・初期アクセス |
標的調査、スピアフィッシング、ゼロデイ悪用、IABからの調達 |
TA0043 / TA0001 |
|
永続化・権限昇格 |
バックドア設置と自動起動登録、管理者権限の奪取 |
T1547 |
|
横展開・C2通信 |
正規認証情報でのなりすまし、指令サーバーとの偽装通信 |
T1078 / TA0011 |
|
目的実行・持ち出し |
機密データの圧縮暗号化と送出、または破壊 |
T1041 |
偵察から持ち出しまでが一本の線でつながっていることが分かると、防御側はどの局面でも遮断のチャンスがあると気づけます。1つの段階で動きを止められれば、攻撃ライフサイクル全体を頓挫させられるのです。
APT攻撃を抽象的な脅威として理解するだけでは、自社が直面するリスクは見えてきません。実在する攻撃者集団がどの国家を背景に、どんな標的を狙ってきたのかを知ることで、脅威が具体化されます。
以下では主要なAPTグループを整理したうえで、同じグループがベンダーごとに別名で呼ばれる命名規則の事情と代表的な被害事例を、先に見た攻撃ライフサイクルと対応づけて解説します。
国家を背景とするAPTグループは世界中で観測されており、その多くがロシア、中国、北朝鮮、イランといった国家に結びつけられています。代表的なグループを背景国と標的の傾向で整理すると、それぞれの狙いが見えてきます。
|
グループ |
別名 |
推定背景 |
主な標的・特徴 |
|
APT28 |
Fancy Bear |
ロシア軍参謀本部情報総局系 |
政府・軍・選挙干渉、スピアフィッシング |
|
APT29 |
Cozy Bear |
ロシア対外情報庁系 |
外交・諜報、SolarWinds攻撃、高い隠密性 |
|
Lazarus |
Hidden Cobra |
北朝鮮系 |
金融・暗号資産窃取、WannaCry |
|
APT41 |
Double Dragon |
中国系 |
諜報と金銭目的を併用 |
|
MirrorFace |
Earth Kasha |
中国関与が疑われる |
日本のシンクタンク・政府・政治家・マスコミを標的 |
Google CloudやMandiantが公開するAPTグループの一覧を見ると、これらのグループがそれぞれ固有のTTP（戦術や技術、手順）を持ち、長期にわたって特定の標的領域を狙い続けていることが分かります。
たとえばロシア系のAPT29は外交や諜報に的を絞った高い隠密性で知られ、北朝鮮系のLazarusは制裁下の外貨獲得を背景に金融機関や暗号資産取引所を狙う傾向があります。背景にある国家の戦略目標が、そのまま攻撃の標的選定に反映されているのです。
APTグループを調べると、同じ集団が複数の名前で呼ばれていることに戸惑うかもしれません。これは、脅威情報を扱うベンダーがそれぞれ独自の命名規則を採用しているためです。
代表的な3つの体系を見ると、その違いが分かります。
Mandiantは発見順にAPT28やAPT29といった通し番号を割り当てます。CrowdStrikeは背景国を動物名で表し、ロシアをBear、中国をPanda、北朝鮮をChollima、金銭目的の犯罪者をSpiderとして識別します。
Microsoftは気象現象をモチーフにした体系を採用し、中国をTyphoon、ロシアをBlizzard、北朝鮮をSleet、イランをSandstormで表します。
問題は、同一のグループがこれらの体系をまたいで別々の名で語られることです。脅威インテリジェンスの現場では、この呼称をマッピングする作業が欠かせません。実際にMicrosoftとCrowdStrikeは2025年に共同で名寄せに取り組み、80を超える脅威アクターのひも付けに成功しています。
たとえば、MicrosoftのVolt TyphoonとCrowdStrikeのVANGUARD PANDAが同一の中国系グループを指すと検証されました。自社が直面する脅威を正確に把握するうえで、命名規則の理解は実務的な意味を持ちます。
APTの脅威は、過去の大規模な被害事例を見ると鮮明になります。いずれの事例も、先に解説した攻撃ライフサイクルの各段階が現実の被害として現れたものです。
Stuxnetは、2010年に明らかになった破壊型APTの象徴です。
イランの核燃料施設の制御システムを標的とし、複数のゼロデイ脆弱性を組み合わせて侵入し、ウラン濃縮用の遠心分離機を物理的に破壊しました。国家の関与が疑われるこの攻撃は、サイバー攻撃が現実世界の産業設備を破壊しうることを世界に突きつけた転換点です。
攻撃ライフサイクルでいえば、ゼロデイによる初期アクセスから目的実行としての物理破壊までを体現した事例といえます。
SolarWinds攻撃は、ロシア対外情報庁系のAPT29が実行したサプライチェーン攻撃です。IT管理ソフトOrionの正規アップデートにSUNBURSTと呼ばれるバックドアを仕込み、署名済みの更新プログラムとして配布しました。
SolarWindsがSECに提出した報告によれば最大約18,000の顧客が影響を受けたアップデートをダウンロードし、そのうち高価値の標的に絞って実際にバックドアが起動されました。
永続化と隠密なC2通信を駆使し、長期間にわたり気づかれなかったこの事例は、信頼されたソフトウェアの供給網そのものが侵入経路になりうることを示しました。
Operation Auroraは、2010年1月にGoogleが公式ブログで公表した中国系APTによる攻撃です。
Internet Explorerのゼロデイ脆弱性（CVE-2010-0249）を悪用したスピアフィッシングを起点に、Googleを含む20社以上の米国IT企業が標的となり、同社の知的財産の一部が窃取されました。知的財産という機密情報の窃取を狙った、典型的な諜報型APTの事例です。
APTの脅威は海外の話ではなく、日本の組織が現実に標的となっています。とくに重要インフラや政府機関、先端技術を持つ製造業が狙われる傾向が強まっています。
その代表が、中国の関与が疑われるMirrorFaceです。
警察庁とNISCの注意喚起によると、MirrorFaceは2019年頃から日本のシンクタンクや政府、政治家、マスコミに関係する組織や個人を標的に、情報窃取を目的とした標的型攻撃を継続してきました。
LODEINFOと呼ばれるマルウェアをMicrosoft Office文書に仕込み、添付ファイルを開かせて感染させる手口が確認されており、近年は半導体や航空宇宙といった先端分野の組織も標的に含まれています。
中国系のBlackTechも、日本と米国の当局が合同で注意喚起を出した攻撃グループです。ルーターなどのネットワーク機器に侵入してバックドアを仕込み、子会社から本社へと横展開する手口が報告されています。
警察庁の脅威情勢報告でも、国家を背景に持つとみられる攻撃者による情報窃取型の標的型攻撃が継続していることが示されており、日本の組織が地政学的な諜報の対象になっている現実を直視する必要があります。
日本語の解説記事だけでは、APTの脅威がいま現在どの方向へ動いているのかは見えてきません。最新の動向は、世界中の侵害対応から得られた英語の一次統計に最もよく表れています。ここでは、防御戦略を立てるうえで押さえておきたい3つのレポートの数値を紹介します。
潜伏期間の長さを示すのが、Mandiantのdwell timeです。
M-Trends 2026では、攻撃者が侵入してから検知されるまでのグローバル中央値が14日へと悪化し、前年の11日から延びました。さらに諜報目的の攻撃に限ると潜伏期間は122日に達しており、侵入されてから気づくまでに数か月かかる現実が、数値として裏づけられています。
同レポートでは、諜報グループが観測された脅威クラスターに占める割合が前年から倍増し16%に達したことも示され、国家支援型の活動が量的にも拡大していることが分かります。
国家支援型の攻撃が高度化している実態は、CrowdStrikeの観測にも表れています。
2026 Global Threat Reportでは、国家を背景に持つ攻撃者によるクラウドを意識した侵入が前年比266%増加し、中国系の攻撃者が悪用した脆弱性の40%がVPN機器やファイアウォールといったエッジデバイスを狙ったものでした。
攻撃者の分業化の進行を示すのが、Mandiantが報告した初期アクセスの受け渡し速度です。
M-Trends 2026では、侵害から別の攻撃者への引き渡しまでの中央値が22秒まで短縮されました。これは、初期侵入を担う者と内部活動を担う者が市場を介して連携する、攻撃のサプライチェーン化が進んでいることを意味します
前段で触れた攻撃のサプライチェーン化を支えているのが、ダークウェブの存在です。
APTグループは侵入の入口でダークウェブから足場を調達し、出口では窃取したデータをダークウェブで換金や公開に回します。この入口と出口の構造を理解すると、防御側がどこで先手を打てるかが見えてきます。
ここでは調達と換金の2つの経路に分けて解説します。
APTグループといえども、すべての侵入を自前のゼロデイで行うわけではありません。作戦の効率を上げるため、攻撃者はすでに侵害済みの企業環境へのアクセス権を、ダークウェブの初期アクセスブローカー（IAB）から購入することがあります。
IABは侵害済みの足場を商品としてダークウェブで販売する仲介者であり、買い手は初期侵入の手間を省いて、いきなり横展開のフェーズから作戦を始められます。
このIABの仕入れ元になっているのが、インフォスティーラーと呼ばれる認証情報窃取型のマルウェアです。感染した端末からブラウザ保存のパスワードやセッションクッキー、VPNやSaaSの認証情報を抜き取り、それがIABの手を経て攻撃者へ渡ります。
先に触れた22秒という引き渡し速度は、このIABを介した分業がいかに高速化しているかを物語っています。攻撃者が初期アクセスを手にする前提は、自社の認証情報がダークウェブに流通した時点ですでに整っているのです。
攻撃ライフサイクルの終点で持ち出された機密データは、ダークウェブで換金や公開の対象になります。金銭目的を併用するグループは、窃取したデータをリークサイトで売買したり、公開すると脅して身代金を要求したりします。
窃取された認証情報がさらに別の攻撃の初期アクセスとして再販される連鎖も起きており、一度の侵害が次の侵害を呼ぶ構造ができあがっています。
一方で、純粋な諜報型や破壊型のAPTは、持ち出したデータを公開せず静かに保持する場合があります。
この場合、被害組織は流出に気づく手がかりをほとんど得られません。だからこそ、自社のデータや認証情報がダークウェブに現れていないかを監視することが、侵害を察知する数少ない兆候になります。
SpyCloudのAnnual Identity Exposure Reportが示すように、膨大な認証情報が日々ダークウェブに流通しており、自社の情報がその中に紛れていないかを把握することの重要性が高まっています。
ここまで見てきたとおり、APTは正規の認証情報と正規に見える通信を使って長期間潜伏するため、単一の防御では捉えきれません。求められるのは、潜伏を前提に多層で検知し、攻撃者が動ける範囲を物理的に絞り、そして最も上流のダークウェブ段階で先手を打つという、層の重なった備えです。
ここでは、大企業や重要インフラを担う組織が押さえるべき対策を体系化します。
シグネチャでは捉えられないAPTの活動は、複数のレイヤーにまたがるふるまいの異常として検知するしかありません。役割の異なるソリューションを組み合わせ、エンドポイント、ネットワーク、そしてそれらの横断という3つの視点で監視します。
l EDR（エンドポイント検知応答）：端末上で起きるバックドアの設置や認証情報の窃取といった不審な挙動を検知
l NDR（ネットワーク検知応答）：これまで通信のなかった端末どうしが突然つながるといった、横展開やC2通信に伴うネットワークの異常を検知
l XDR（拡張検知応答）：エンドポイントとネットワーク、クラウドのログを横断して相関分析し、個々のレイヤーでは点でしかない兆候を、攻撃の線としてつなぎ合わせる
エッジデバイスやクラウドが標的化される傾向が強まる以上、複数の視点を統合して死角をなくすことが、検知力の前提になります。
APTは検知をすり抜けるように設計されているため、アラートが上がるのを待つだけの受け身の運用では、長期潜伏を見逃します。そこで重要になるのが、SOC（セキュリティオペレーションセンター）による継続的な監視と、Threat Huntingと呼ばれる能動的な探索です。
Threat Huntingは、まだアラートになっていない侵害の痕跡を、仮説を立てて能動的に探しに行く活動です。
たとえば、自社の業界を狙うAPTが使うTTPをもとに、その痕跡が社内に存在しないかを先回りして調べます。この際の共通言語になるのが、MITRE ATT&CKです。攻撃者の各技術に対応する検知の着眼点が体系化されているため、ハンティングの仮説や検知ルールの設計の出発点として活用できます。
検知に加えて、攻撃者が動ける範囲そのものを狭める設計も欠かせません。その中核がゼロトラストの考え方です。ゼロトラストとは、ネットワークの内側だからといって暗黙に信頼せず、アクセスのたびに正当性を検証するという設計思想です。
APT対策の文脈でいえば、攻撃者が正規の認証情報でなりすましたとしても、その通信が業務上許可された経路でなければ遮断する、という防御になります。
具体的には、ユーザーや端末に必要最小限の権限しか与えない最小権限の原則、ネットワークを細かく区切って横移動を制限するマイクロセグメンテーション、そしてアクセスのたびに正当性を確かめる継続的検証を組み合わせます。
これにより、攻撃者が1台の端末を奪っても、横展開や権限昇格でドメイン全体の掌握まで連鎖するのを断ち切れます。
ここまでの対策は、いずれも攻撃者が内部に侵入した後の防御です。しかし先に見たとおり、APTの初期アクセスの多くは、自社の認証情報がダークウェブに流通した時点ですでに準備されています。であれば、最も上流の打ち手は、侵入される前にその兆候をダークウェブで掴むことです。
自社を狙うAPTのTTPやIoC（侵害の痕跡）、そして流出した認証情報を脅威インテリジェンスとして事前に把握すれば、攻撃ライフサイクルが始まる前の調達段階で兆候を捉えられます。
StealthMoleのダークウェブインテリジェンスと認証情報モニタリングは、ダークウェブやディープウェブ上で自社ドメインに紐づく認証情報の流出や、IABによる初期アクセスの売買の兆候を可視化します。
インフォスティーラーに窃取された認証情報がIABの手を経て攻撃者へ渡るまでには、市場で流通する時間差があります。この時間差のあいだに該当アカウントを特定し、認証情報をリセットできれば、攻撃者が初期アクセスを手にする前提そのものを崩すことが可能です。
22秒で受け渡される初期アクセスを内部で迎え撃つより、その手前の調達段階で先手を打つほうが、はるかに効率的な防御になります。
APT攻撃は、国家や国家支援を受けた攻撃者集団が、特定の組織を標的に高度な技術で長期間潜伏し、機密情報の窃取やシステム破壊を狙うサイバー攻撃です。
この攻撃に対処するには、攻撃者の動きを攻撃ライフサイクルとして理解することが欠かせません。
偵察から初期アクセス、永続化、横展開とC2通信、そして持ち出しまでの各段階をMITRE ATT&CKの戦術と技術に対応づけて把握し、EDRやNDR、XDRを組み合わせた多層検知でふるまいの異常を捉えます。
そのうえでSOCとThreat Huntingで潜伏を能動的に暴き、ゼロトラストで横展開と権限昇格を封じ込めます。そして最も上流では、自社の認証情報や初期アクセスがダークウェブに流通していないかを脅威インテリジェンスで常時監視し、攻撃ライフサイクルが始まる前に兆候を掴みます。
こうして、侵入前の兆候把握、多層での検知、攻撃範囲の封じ込めが一つの体制としてかみ合うとき、防御側は攻撃者の長期潜伏を早期に暴き、作戦が始まる前に頓挫させられるようになります。
