Symantec の Threat Hunter Team が 2026年10月20日、ロシア系の攻撃グループ Swallowtail（APT28 / Fancy Bear / Forest Blizzard）が NATO 加盟2か国の造船会社や軍用航空機エンジンメーカーを標的にしていたと報告しました。本記事では、報告に書かれた侵入の流れを事実ベースで整理したうえで、製造業の標的型攻撃対策で「侵入後」に何を見張るべきかを、業務システムを作る側の立場から考えます。
要点（出典の事実のみ）
- 標的は NATO 加盟2か国の組織で、法執行機関、艦艇の造船会社、軍用航空機エンジンメーカーが含まれる。
- 造船会社への初期侵入は、2026年7月24日に Outlook の添付ファイルとして届いたマクロ付き Word 文書。マクロはウイルス対策を回避するよう難読化されていた。
- バックドア「Hookedge」は webhook.site を指令受信・データ持ち出しに使い、感染端末では非表示の Microsoft Edge ウィンドウを HTTP クライアントとして利用した。後の段階では攻撃者専用の IP アドレスに切り替えている。
- 認証情報の窃取には、SSH 秘密鍵を送り込んで社内ネットワークへの常駐 SSH トンネルを張る手法と、NTLM 認証をループバックのリスナーに強制してハンドシェイクを取得する PowerShell スクリプトが使われた。
- 7月31日には未知のリフレクティブローダー（ld.exe）が実行され、8月下旬にも痕跡が残り、9月24日にも起動が確認されたため、Symantec は侵入が継続中の可能性を前提に扱うよう勧めている。
何が「新しい」のではなく、何が「普通に通った」のか
この報告で私が注目したのは、使われた技術の目新しさではありません。むしろ逆で、マクロ付き Word、正規の Web サービス（webhook.site）、正規ブラウザ（Edge）、SSH、NTLM という、どれも業務ネットワークで「普通に使われているもの」だけで侵入から横展開まで成立している点です。
研究出身の癖で、こうした報告は「どの防御層で止められたはずか」に分解して読みます。すると、入口のメールフィルタや端末のウイルス対策は、難読化マクロの時点ですでに抜けられています。止められる可能性が残っていたのは、その後の段階――端末から外部への見慣れない通信、端末起点で社内に張られるトンネル、不自然な認証の挙動――でした。Symantec 自身も、バックドアだけでなく認証情報の窃取とトンネリングの痕跡を探すよう勧めています。
製造業の現場で、侵入後に何を見張るべきか
私たちは中小〜中堅企業の業務システムや基幹システムを作る仕事をしていますが、製造業の相談で「境界防御は入れているので大丈夫」という前提をよく見かけます。今回の事例が示しているのは、侵入されること自体は前提にして、侵入後の長期滞在をいかに早く見つけるかという設計への切り替えです。具体的には次の3点を、システムを作る段階から組み込むべきだと考えています。
- 認証情報を「端末に置かない・使い回させない」設計 SSH 秘密鍵や NTLM のような認証資産が端末上で取れてしまうと、そこから先は正規ユーザーとして動かれます。認証・認可は高速開発の中でも絶対に妥協しない土台で、ここをツール導入ではなく権限設計の問題として扱う必要があります。
- 外向き通信の監視 業務端末がブラウザ経由で汎用 Webhook サービスに定期通信している、という挙動は、業務フローを把握していれば「不自然」と判断できます。逆に言えば、自社の正常な通信を定義できていない組織には検知しようがありません。
- 端末から内部ネットワークへの経路形成の検知 一般社員の端末から社内向けに SSH トンネルが張られる業務は、多くの会社では存在しないはずです。「存在しないはずの経路」を定義しておくこと自体が検知ルールになります。
結局のところ、これは DX と同じ構造です。正常な業務・権限・通信が定義されていない組織では、異常も定義できない。セキュリティ製品を足す前に、自社の業務と権限の境界を言語化することが、地味ですが最も効く対策だと私は考えています。
また、今回の標的は大手の防衛関連企業ですが、こうした企業の取引先には中小の部品メーカーや設計会社が多く含まれます。サプライチェーンの一角として、同じ前提で自社を見直しておく価値は十分にあります。
