エクスクルーシブ-パロアルト、報復恐れ中国関与示唆せず＝情報筋

Raphael Satter　AJ Vicens

［ワシントン　２月１２日　ロイター］ - パロアルトネットワークスPANW.Oは、サイバーセキュリティ企業やそのクライアントが北京からの報復に直面する可能性を懸念し、同社が先週暴露した世界的なサイバースパイ活動キャンペーンと中国を関連付けないことを選択したと、この問題に詳しい２人の関係者が語った。

この情報筋によれば、ロイター（(link)）が最初に報じた、パロアルトが国家安全保障を理由に中国当局からソフトウェアの使用を禁止されている米国とイスラエルのサイバーセキュリティ企業約１５社のうちの１社であるという先月のニュースを受けて、中国が大規模なハッキング行為に関与しているというパロアルトの調査結果は後退したという。

パロアルトの脅威インテリジェンス部門であるUnit 42による報告書の草稿では、先週木曜日に発表された報告書で「TGR-STA-1030」と名付けられたこの多作なハッカーは北京と関係があるとされていた、と２人は述べている。完成した報告書では、このハッカー集団はより曖昧に "アジアで活動する国家と連携したグループ "と表現されている。

高度なハッキングを立証するのは難しいことで知られており、サイバーセキュリティ研究者の間では、デジタル侵入の責任をどのように割り当てるのが最善かについての議論はよく行われている。しかし、パロアルトは過去にも中国によるハッキングであると特定したことがあり、その中には今年９月のものも含まれている（(link)）。情報筋はロイターに、Unit 42の研究者たちは、豊富なフォレンジック上の手がかりに基づき、新たに発覚したハッキング・キャンペーンも中国に関連していると確信していると語った。

情報筋によれば、この変更はパロアルトの幹部がソフトウェアの使用禁止を懸念して命じたもので、中国当局から、中国国内の同社職員または他国の顧客に対する報復を受けることを恐れたためだという。

情報筋は、どの幹部が報告書の結論を軟化させる決定を下したのか、また変更前の報告書にあった正確な文言は特定していない。彼らはこの件について話す権限がないため、匿名を条件に話した。

和らげられたとされる表現についてコメントを求められたパロアルト社は、ロイターに次のような声明を発表した：「帰属は関係ない」

パロアルトのグローバル・コミュニケーション担当副社長ニコール・ホッキンは、その後のロイターへのメールで、この声明は、パロアルトの報告書に帰属がないことは「中国の調達規制」と相関関係がないことを伝えるためのものであり、そうでない示唆は "憶測であり、虚偽である "と述べた。彼女は、パロアルト社の報告書の文言の選択は、"この広範なキャンペーンについて、各国政府にどのように伝え、保護するのが最善か "を反映したものだと述べた。

ワシントンの中国大使館は、"あらゆる形態のサイバー攻撃 "に反対すると述べた。同大使館はさらに、ハッキングの原因究明は「複雑な技術的問題」であり、「関係者が、根拠のない憶測や非難ではなく、十分な証拠に基づいてサイバー事件を断定し、専門的で責任ある態度をとる」ことを望むと付け加えた。

影のキャンペーン

報告書 (link) によると、パロアルトが最初にハッキンググループTGR-STA-1030を検知したのは２０２５年初頭であった。パロアルトが「影のキャンペーン」と名付けた広範な活動において、スパイは世界のほぼすべての国に対して偵察を行い、３７カ国の政府機関や重要インフラ組織への侵入に成功したとされている。

中国の名前は挙げられていないが、パロアルトの報告書をよく読んでいる人は、北京が関与しているという印象を持つかもしれない。例えば、研究者たちは、ハッカーたちの活動が中国を含むGMT+8タイムゾーンと一致していること、８月にチェコの大統領とダライ・ラマ（チベットの精神的指導者であり、北京は長い間邪魔な存在と見なしてきた）が会談した後、ハッカーたちはチェコの政府インフラに焦点を当てたようだと指摘している。報告書はまた、ハッカーが１１月５日、外交上の "訪問 "に先立ってタイを標的にしたと指摘した。報告書にはその詳細は記されていないが、翌週にはタイの国王が初めて北京を公式訪問することになっている (link)。

パロアルトの報告書を検討した外部の研究者たちは、中国の国家が支援するスパイ活動だと思われる同様の活動を見たことがあると述べている。

SentinelOneのシニアスレットリサーチャーであるトム・ヘーゲル氏は、「我々の評価では、これは北京が関心を持つ組織に対する諜報活動や執拗な内部アクセスを求める、中国に関連した世界的なキャンペーンの広範なパターンの一部である」と述べた。

パロアルト社は、北京、上海、広州を含む５つのオフィスを中国に構えているとウェブサイトに記載している。プロフェッショナル・ネットワーキング・サイトのLinkedInには、エンジニアやアカウント・マネージャーなど、中国全土で７０人以上の自称パロアルト社員が掲載されている。

ある学者は、今回の事件は、サイバーセキュリティ企業、特にグローバルに事業を展開する企業が、国家によるサイバースパイ活動を告発するかどうかを検討する際に、しばしば直面するトレードオフを物語っていると述べた。一方では、外国のスパイを暴露することで、業界から称賛を浴び、好意的な評判を得ることができる。その一方で、外国の諜報機関と関わることは報復の引き金になりかねない。

「サイバー攻撃の歴史を研究しているジョンズ・ホプキンス大学のトーマス・リッド教授は、「人々は常に名前を挙げることでリスクを冒してきた」と語った。「それは常に不愉快なことだった。そして、大企業がそうであるように、現場に人員を抱えているならば、それは追加の考慮事項となる。自社の人間、つまり現地の従業員を危険にさらすことになるのか？」