英米オランダ、イラン国家系スパイウェアを共同警告　CHOSEN BRICKは個人端末へ迂回する例も

4 時間前

読了時間: 4分

英国の国家サイバーセキュリティセンター（NCSC）は2026年9月15日、米連邦捜査局（FBI）とオランダ総合情報保安局（AIVD）と共同で、イラン国家系サイバー攻撃者が使用しているとするWindows向けマルウェア「CHOSEN BRICK」の技術アドバイザリーを公表しました。NCSCによると、このマルウェアは少なくとも2025年から英国、米国、オランダを含む世界各地の個人を標的に使われています。

英国GCHQ本部の航空写真。CHOSEN BRICKに関する英米オランダ共同サイバー警告の参考画像 — 英国チェルトナムのGCHQ本部。参考写真であり、今回のCHOSEN BRICK攻撃や被害そのものを示すものではありません。Photo: Defence Images / GCHQ / Crown Copyright, Wikimedia Commons, CC BY-SA 2.0

何が明らかになったのか

NCSCは、イランが体制への脅威とみなす反体制派、活動家、ジャーナリストなどへの抑圧を支えるためにサイバー活動を利用している可能性が「ほぼ確実」と評価しています。CHOSEN BRICKは、標的の連絡先、電子メール、SNSやメッセージの情報を収集し、移動や行動パターンの把握につながる可能性があります。過去の被害者の個人情報が親イラン系のリークサイトに掲載された例も確認されています。

攻撃は、WhatsAppやTelegramなどで信頼できる人物やサポート担当者になりすまし、標的との関係を作るところから始まります。その後、相手の関心や状況に合わせたファイルを送り、正規のアプリや文書のように見せながらCHOSEN BRICKを実行させます。

企業端末で阻止されると、個人端末へ誘導する例も

企業にとって特に重要なのは、NCSCが確認した「端末の切り替え」です。攻撃者は最初に仕事用・企業管理下の端末へ接触することが多い一方、マルウェアの配布に失敗した場合や検知リスクが高いと判断した場合、標的に対して「自分の端末で開いてほしい」などと促し、個人端末へ攻撃を移すことがあるとしています。

つまり、EDRやアプリ制御など企業側の防御が機能していても、管理外の個人端末へ誘導されれば、その防御境界の外側から情報を取られる可能性があります。NCSCも、企業端末だけでなく個人端末が狙われるため、標的になりやすい従業員へアドバイザリーを共有し、個人端末の確認も支援するよう組織に推奨しています。

生成AIサービスや正規ソフトを装う偽ファイル

確認された偽装例には、Pictory、RunwayML、Norton Antivirus、Telegram、Adobe Flash Player、KeePassなど、利用者が知っている正規サービス・ソフトウェアを装ったものがあります。MRI検査結果を装ったファイルも使われました。これらのブランドや正規サービスが侵害されたことを示すものではなく、攻撃者が名称や見た目を悪用したものです。

CHOSEN BRICKで確認された主な機能

WindowsのレジストリRunキーを悪用し、再起動後も自動実行する持続性を確保する
Microsoft Defenderの除外設定を追加し、検知回避を試みる
画面キャプチャやマイクによる音声取得を行う
ブラウザ上のTelegram・WhatsAppデータや電子メールを取得する
追加のマルウェアをダウンロードする
ファイル削除や、少なくとも一部の検体ではシステム消去機能を持つ
Telegram Botやクラウドストレージを組み合わせてデータを外部へ送信する

NCSCは、CHOSEN BRICKについて自動化された横展開（lateral movement）は観測しておらず、確認された攻撃は単一端末を中心としているとしています。ただし、追加マルウェアをダウンロードできるため、技術的には別の機能を追加できる点には注意が必要です。

日本企業にとってなぜ重要か

今回の警告は反体制派、活動家、ジャーナリストなどへの国家系サイバー監視が中心ですが、企業セキュリティの観点でも重要です。攻撃者が「会社の端末で失敗したら個人端末へ移す」ことを実際の手口として使っているためです。中東関連の業務、報道・調査、外交・防衛、重要インフラ、海外事業などに関わる社員や経営層を抱える企業では、標的型攻撃を会社支給端末だけの問題として扱わない方が安全です。

NCSCは、侵害が疑われる場合にIOC（侵害指標）、ログ、レジストリ上の持続化設定などを調査することに加え、フィッシング耐性のあるMFA、端末管理、アプリ許可リスト、エンドポイント・ネットワーク監視などを推奨しています。メッセージアプリで送られてきたソフトウェアをそのままインストールせず、正規サイトや公式アプリストアから取得することも重要です。

海外の政府発表やサイバー脅威情報を継続的に確認する必要がある企業向けに、アシーマでは海外情報リサーチサービスを提供しています。

ACIMA WORLD NEWSの視点

今回のCHOSEN BRICKで注目すべきなのは、マルウェアそのものの高度さだけではありません。攻撃者が標的を詳細に調べ、信頼関係を作り、企業の防御が強ければ個人端末へ移るという「人と端末の境界」を狙っている点です。企業のサイバー防御が強化されるほど、経営者や従業員の私物端末、個人アカウント、メッセージアプリなどが次の攻撃面になる可能性があります。

ACIMA WORLD NEWSでは、今回公表されたIOCや攻撃手法の更新に加え、イランを含む国家系サイバー活動が企業活動・海外事業・経済安全保障へどう波及するかを引き続き追跡します。