Key Takeaways
- 中国との関連が疑われるオペレーショナルリレーボックス（ORB）ネットワークのノードが、インターネットに公開された無線受信機、気象観測所、カメラなど、サイバー・フィジカルテレメトリを提供する情報源へ繰り返し接続していることを確認しました。これは、通信中継インフラが公開データの大規模収集にも利用され得ることを示しています。
- 単体では無害なデータでも、複数の情報源を横断して時系列で関連付けると、機密性の高い活動が明らかになる場合があります。Operation Epic Furyの前後には、防御されたネットワークに侵入することなく、公開データを統合して詳細な状況認識を構築できることを商用ベンダーが実証しました。
- この露出リスクは政府や防衛機関だけの問題ではありません。企業の場合、公開テレメトリからサプライチェーン上の関係、稼働状況などの業務パターンが判明する可能性があります。特に、従来の資産台帳やリスクモデルの対象外となる第三者システムが情報源になることも少なくありません。
- 組織は、公開されたサイバー・フィジカルテレメトリを独立した露出リスクの区分として扱う必要があります。外部アタックサーフェス管理（EASM）は、インターネットに面した資産を継続的に発見・評価するサイバーセキュリティ手法であり、外部からアクセス可能なシステムや技術が生むリスクの特定、監視、低減に役立ちます。
本リサーチの詳細は、PDFレポート「外部アタックサーフェスの再考：公開サイバー・フィジカルデータがもたらす増大するリスクへの対応」（日本語版）をダウンロードしてご覧ください。
Operation Epic Fury（英語）は、2026年2月28日に開始された、イランの軍事インフラに対する米軍の作戦です。この作戦により、一般に入手可能な商用データを組み合わせて軍事情報を構築できることが浮き彫りになりました。中国の商用AIベンダーであるJing’an Technologyは、オープンソースインテリジェンス（OSINT）を使って状況認識を構築し、米軍部隊の増強から攻撃そのものまでを追った53日間のタイムライン（英語）を公開しました。別のベンダーであるMizarVisionは、米軍の拠点と配置を示す、解像度1メートル未満の注釈付き画像を作戦の前から実施中にかけてソーシャルメディアで公開しました。これらの再構築には、公開されている航空機・船舶のテレメトリ、愛好家が投稿した無線音声、商用衛星画像などの信号が使われています。こうした情報は、収集する意思さえあれば誰でも入手できました。その後、欧米の情報機関は、この種のデータがイラン・イスラム革命防衛隊（IRGC）航空宇宙軍の標的選定に実際に利用された（英語）と評価しました。オープンデータは、情報収集の価値そのものを塗り替えつつあります。
組織や国家が安全性、市場効率、科学協力のために公開を義務付けたセンサー情報や開示データは、現在ではサイバー・フィジカル活動を連続的かつ機械可読な形で映し出しています。国家の意向に沿う商用ベンダーは、その全体像を統合し、大規模な作戦情報へと変換しています。しかし、多くの組織が依拠するセキュリティフレームワークは、こうして生じる露出を自ら管理すべきリスクとしてまだ認識していません。
本リサーチでは、中国との関連が疑われるオペレーショナルリレーボックス（ORB）が、データ収集などの目的で公開テレメトリをどのように利用しているかを掘り下げます。いくつかのORBネットワークとそのノードの活動を長期にわたって監視した結果、注目すべき挙動が確認されました。多くのORBノードが、ソフトウェア無線受信機、気象観測所、ビデオカメラを含む物理現象の信号源へ繰り返し接続していたのです。この活動の背後には、より大きな作戦の一部となり得る大規模な情報収集活動があると評価しています。
推奨事項
詳しい指針は、添付のテクニカルブリーフに記載されています。優先度の高い項目は次のとおりです。
- テレメトリは記録ではなく、外部へ放出される情報として扱います。 認証なしで公開されるセンサー測定値や各種の開示・公開情報は、セキュリティ上の問題になります。テレメトリが詳細かつ高粒度になるほど、露出リスクも高まるためです。組織は、既存のIT資産台帳と併せて、公開テレメトリの露出状況をまとめた台帳を整備する必要があります。
- 組織の主要資産だけでなく、関連資産から放出される情報も監査します。 サプライヤー、請負業者、護衛部隊から発信される情報、電力購入に関する規制上の開示、拠点を撮影した商用画像の公開頻度はいずれも、組織が直接所有する資産でなくても露出につながります。
- 組織が運用または依存するテレメトリエンドポイントに対するORB型スクレイピングを監視します。 公開信号データの透明性確保用フィードを提供している場合は、特定済みの住宅用IPアドレスを使う端末から、大規模なスクレイピングが急増していないか監視してください。この挙動を検知するシグネチャを作成できます。
- OSINT統合ベンダーをサイバー脅威インテリジェンス（CTI）の一分野として扱います。 この種のテレメトリ監視にさらされるおそれがある民間・公共組織は、敵対勢力と歩調を合わせる国・地域で事業を行う商用データ統合ベンダーのウォッチリストを維持する必要があります。各社の公開情報を監視し、各社が自ら公表する活動情報を組織の戦略リスク管理に反映してください。Jing’anの53日間のタイムラインは、追跡対象となった組織側から見れば、自ら活用できるCTIフィードでもありました。
参考記事
Rethinking the External Attack Surface: Managing the Growing Risk of Open Cyber-Physical Data
By : Fyodor Yarochkin , Vladimir Kropotov , Robert McArdle
翻訳：与那城 務（Platform Marketing, Trend Micro™ Research）