米司法省とFBI、中国政府系ハッカー集団QTFYの攻撃基盤QScanとQTRouterを差し押さえ — NASAや連邦準備制度などへの侵入に悪用

米司法省（DOJ）と連邦捜査局（FBI）は2026年8月26日、中国政府が支援するハッカー集団「QTFY」が運用する2つの攻撃プラットフォーム「QScan」と「QTRouter」のドメインを、カリフォルニア南部地区の連邦裁判所の許可を得て差し押さえたと発表した。司法省は、2つのプラットフォームが連携して米国の重要インフラや機微なネットワークへの侵入に使われていたと説明している。

何が起きたか

司法省の発表によると、QTFYは中国・南京に拠点を置く南京鑫玖维網絡科技有限公司（Nanjing Xinjiuwei Network Technology Co., Ltd.）の従業員らによって構成される集団だ。同集団は中国政府から資金提供を受け、顧客である国家安全部（Ministry of State Security）や人民解放軍を含む中国政府機関に対してハッキングサービスを提供していた。

差し押さえの対象となったのは、QTFYが顧客に提供していた2つのサービスだ。

• QScan：脆弱性を自動的に探索し、世界中のIoT機器を感染させてボットネットに組み込むための偵察・スキャンプラットフォーム。訴状によると200件超の概念実証（PoC）エクスプロイトを内蔵していた。
• QTRouter：QScanで乗っ取ったIoT機器や商用のプロキシサービス、リースした仮想専用サーバー（VPS）で構成される匿名化ネットワーク（難読化ネットワーク）。攻撃通信を中国国外の機器を経由させることで、攻撃元が中国であることを隠蔽する役割を担っていた。

司法省は、2つのドメインがQScanとQTRouterのマルウェアにハードコードされ、通信や認証といった中核機能に使われていたため、差し押さえによって両プラットフォームが動作不能になったと説明している。

被害組織と活動期間

裁判資料によると、QTFYの侵入活動の被害には次の組織が含まれている。

• 米航空宇宙局（NASA）、連邦準備制度（Federal Reserve）、エネルギー省、司法省、保健福祉省、国立衛生研究所（NIH）、米上院（2026年3月に侵入未遂）

このほか、金融機関や防衛関連企業、電力・通信事業者、病院なども標的となっていた。FBIと司法省は、QTFYの活動が少なくとも2018年から8年以上にわたり継続していたとしている。2026年6月には米国の選挙システムへの侵入も試みたが失敗したと、裁判資料で明らかにしている。

攻撃では、Pulse Secure、Fortinet、Citrix、Microsoft、F5、Kentico CMS、Atlassian Confluence、Ivanti、Check Point、CrushFTP、BeyondTrustなど、10社以上の製品の脆弱性が悪用されていた。

攻撃基盤の仕組み — Lumenが解明した「 quartermaster（兵站）」モデル

今回の差し押さえに協力したLumen Technologiesの脅威インテリジェンス部門Black Lotus Labsは、同日に技術レポート「The infrastructure quartermaster: inside a China-nexus state enablement model」を公開し、QTFYの基盤を「 quartermaster（兵站担当）」モデルとして分析した。

同社の分析によると、 quartermasterの機能は4つのコンポーネントで構成されている。

• QScan：標的の偵察とプロファイリングを担う。QScanで発見・評価されたネットワークは、後に「Fast Labyrinth」を通じた双方向通信に現れる。
• Fast Labyrinth：商用のプロキシインフラ（中国のインターネット検閲を回避する「Airport（机场）」サービス、具体的にはfastlink.ws）を流用し、暗号化された中継ネットワークで標的との通信を難読化する。
• QTRouter：運用者や顧客がプロキシ基盤へアクセスするための物理的なアクセス装置。事前設定された経路で管理システムへ接続する。
• QTProxy（qtproxy.xyz）：Fast Labyrinthの運用ノードを管理するウェブパネル。運用者は事前設定された中継経路を使うことも、標的に応じて独自の経路を調整することもできる。

Lumenは、 quartermasterが数千台のIoT機器を個別に侵害する代わりに、中国の「Airport」サービスの法人向け上位プランを購入することで、国際専用線（IPLC）やBGPマルチホーミング回線といった高速・低遅延の回線を即時に利用していたと指摘している。これにより、攻撃トラフィックは一般消費者の動画配信などと同じプレミアム出口ノードを経由し、通常のトラフィックの雑音に紛れて検知を回避していた。

管理パネルのログ分析では、南京の中国電信（China Telecom）や中国聯通（China Unicom）のIPアドレス空間からの管理アクセスが確認され、運用拠点が南京にあるとする地理的な補強材料も示された。Lumenは捜査期間中、既知のインフラへのトラフィックをヌルルーティング（遮断）し、米政府機関への警告にも協力したとしている。

米当局の対応とアドバイザリ

司法省のジョン・A・アイゼンバーグ国家安全保障担当次官補は「裁判所が許可した今回の差し押さえは、中国とつながるハッカーが米国の重要インフラへのオンライン攻撃に使うツールを奪うものだ」と述べている。FBIのカッシュ・パテル長官も「国家支援型ハッカーが攻撃元を隠すために使っていたツールを押収し、プラットフォームを停止させた」と説明した。

FBIサンディエゴ支局のマーク・レミリー特別捜査官は「複雑な捜査と積極的な技術的作戦、強力なパートナーシップを通じて、国家支援型サイバーアクターに対抗し続ける」と述べている。

FBIと国家安全保障局（NSA）、サイバー国家任務部隊（CNMF）は同日、2018年以降のQTFYの活動分析に基づく侵入指標（IoC）を含む共同サイバーセキュリティアドバイザリを公開した。司法省はこれを、2025年のMustang PandaによるPlugXマルウェア除去（米国内4000台超）、2024年のFlax Typhoonボットネット無力化（数十万台規模）、2023年のVolt Typhoonボットネット遮断に続く、中国政府系ハッキングに対する一連の裁判所許可による技術的作戦の最新事例と位置付けている。

日本の組織が留意すべき点

司法省とLumenの説明によると、QTFYの手口は特定の業種に限らず、既知の脆弱性を突いた初期侵入と、IoT機器や商用プロキシを悪用した匿名化を組み合わせたものだ。日本国内でも、FortinetやIvanti、Citrixなどの境界機器やVPN製品、Atlassian製品などは広く利用されており、同種の脆弱性が放置された場合、同様の偵察・侵入のリスクがある。

Lumenは、今回のような共有インフラ（ quartermaster）モデルの摘発が、複数の同時進行する国家支援型キャンペーンの能力を同時に低下させる「作戦上のチョークポイント」になると指摘している。FBIと司法省が公開したIoCや、Lumenが示したFast Labyrinthの出口ノードの特徴（yotocloud.comサブドメインなど）は、国内のSOCやCSIRTが通信ログを点検する際の手がかりとなる。

出典となる司法省のプレスリリースとLumenの技術分析は、裁判資料に基づく事実として、攻撃基盤の構造と被害規模を詳細に記録している。日本企業においても、インターネットに露出した機器の棚卸しと脆弱性管理、プロキシやVPNログの異常検知を改めて確認することが求められる。

出典

• U.S. Department of Justice, “Justice Department and FBI Seize Platforms Operated and Used by China State-Sponsored Hackers” (Aug. 26, 2026) https://www.justice.gov/opa/pr/justice-department-and-fbi-seize-platforms-operated-and-used-china-state-sponsored-hackers
• Lumen Technologies / Black Lotus Labs, “The infrastructure quartermaster: inside a China-nexus state enablement model” https://www.lumen.com/blog/en-us/the-infrastructure-quartermaster-inside-a-china-nexus-state-enablement-model