「APT攻撃って何のこと？」「通常のサイバー攻撃と何が違うの？」「なぜ検出が難しいと言われているの？」——そんな疑問をお持ちではないでしょうか。APT攻撃とは特定の組織・国家・企業を長期間にわたって継続的に標的にする高度なサイバー攻撃で、国家の支援を受けた攻撃グループが実行するケースが多く見られます。本記事ではAPT攻撃の意味・特徴・攻撃の流れ・有名グループ・日本の被害事例・対策まで初心者向けにわかりやすく解説します。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

APT攻撃とは

APT攻撃の意味と語源

APT攻撃（エーピーティー攻撃）とは「Advanced Persistent Threat（アドバンスド・パーシステント・スレット）」の略で、日本語では「高度持続的脅威」と訳されます。

• Advanced（高度）：既存のセキュリティ対策を回避する高度な技術・手法を使用する
• Persistent（持続的）：長期間にわたって継続的に攻撃を行い、発覚しても再侵入を試みる
• Threat（脅威）：標的に対して現実的な被害をもたらす脅威である

APTという用語は2006年頃に米国空軍のアナリストが使い始めたとされており、その後セキュリティ業界全体で広く使われるようになりました。

APT攻撃の定義と概要

APT攻撃とは特定の組織・企業・政府機関・重要インフラを標的に、高度な技術を駆使しながら長期間にわたって継続的に実行されるサイバー攻撃の総称です。

通常のサイバー攻撃が不特定多数を対象に短期間で実行されるのとは異なり、APT攻撃は特定の標的を徹底的に調査した上で計画・実行されます。発覚を避けながら長期間潜伏し、機密情報の窃取・スパイ活動・重要インフラへの破壊工作などを目的とします。

実行主体の多くは国家の支援や指示を受けた高度に組織化されたグループであり、豊富なリソースと高い技術力を持ちます。

標的型攻撃との違い

APT攻撃と混同されやすい概念に「標的型攻撃」があります。標的型攻撃とは不特定多数ではなく特定の組織を狙った攻撃の総称で、APT攻撃よりも広い概念です。

標的型攻撃は一度の攻撃で完結するケースもありますが、APT攻撃は必ず「持続性」を持ちます。つまりAPT攻撃はすべて標的型攻撃ですが、すべての標的型攻撃がAPT攻撃というわけではありません。APT攻撃は標的型攻撃の中でも特に高度な技術・組織・長期的な作戦を持つものを指します。

APT攻撃の特徴

持続性（長期間にわたって継続する）

APT攻撃の最も重要な特徴が「持続性」です。一度侵入に成功したら発覚を避けながら長期間（数ヶ月〜数年）潜伏し続けます。侵入が発覚してバックドアが削除されても、別の侵入経路を通じて再侵入を試みます。

この長期潜伏の間に攻撃者は標的の内部ネットワーク構造を把握し、最終目標（機密情報へのアクセスなど）に向けて着実に準備を進めます。

高度性（高度な技術・多様な手法を組み合わせる）

APT攻撃では既存のセキュリティ対策を回避するための高度な技術が使用されます。未公開の脆弱性（ゼロデイ脆弱性）を悪用したカスタムマルウェア・OSやセキュリティソフトを回避する高度なステルス技術・正規のシステム管理ツールを悪用するLiving off the Land（LotL）攻撃など多様な手法が組み合わされます。

使用するマルウェアや攻撃ツールは標的ごとにカスタマイズされることが多く、汎用的なウイルス対策ソフトでは検出できないケースが多々あります。

標的性（特定の組織・国家を狙う）

APT攻撃は不特定多数を狙うのではなく、政府機関・防衛産業・航空宇宙・金融機関・重要インフラ・先端技術企業など特定の組織を精密に狙います。攻撃前には標的の組織構造・使用技術・担当者の個人情報など徹底的な事前調査（偵察）が行われます。

通常のサイバー攻撃との違い（比較表）

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

APT攻撃が検出しにくい理由

正規のツールを悪用するLiving off the Land（LotL）

APT攻撃では悪意あるマルウェアを新たに導入せず、WindowsのPowerShell・WMI（Windows Management Instrumentation）・リモートデスクトッププロトコル（RDP）などOS標準のツールを悪用する「Living off the Land（環境寄生）」という手法が広く使われます。

正規のシステムツールを使った操作はセキュリティソフトのアラートを発生させにくく、正当な管理者の作業との区別が非常に困難です。

長期潜伏による痕跡の消去

APT攻撃者は侵入後に活動ログを削除・改ざんし、バックドアを正規のシステムファイルに偽装します。活動を最小限に抑えながら長期間潜伏するため、セキュリティ担当者が異常に気づく機会が少なくなります。平均的なAPT攻撃の検出までの期間は数ヶ月から1年以上かかるケースも珍しくありません。

ゼロデイ脆弱性の悪用

APT攻撃では公開されていない未知の脆弱性（ゼロデイ脆弱性）が悪用されることがあります。セキュリティベンダーがパッチを公開する前に悪用されるため、パッチ適用による対策が機能しません。ゼロデイ脆弱性の情報は闇市場で高額で取引されており、国家支援を受けたAPTグループはこうした情報を入手できるリソースを持っています。

APT攻撃の流れ（攻撃ライフサイクル）

フェーズ1：偵察・情報収集

攻撃の前段階として標的組織の徹底的な情報収集が行われます。公開情報（OSINT）を使った組織構造・従業員・使用技術の調査・SNSや企業サイトからの担当者情報の収集・使用しているソフトウェア・ネットワーク構成の特定・標的に刺さるスピアフィッシングメールの準備などが実施されます。

フェーズ2：初期侵入

偵察で得た情報をもとに初期侵入を試みます。代表的な手法としてスピアフィッシングメール（標的の担当者を騙すカスタマイズされたフィッシングメール）・悪意あるWebサイトへの誘導（水飲み場攻撃）・ゼロデイ脆弱性の悪用・VPNやリモートアクセスの認証情報窃取などがあります。

フェーズ3：内部侵害・横断的移動

初期侵入に成功すると内部ネットワークへの侵害を拡大します。権限昇格（一般ユーザーから管理者権限を奪取）・横断的移動（他のシステム・サーバーへの侵害拡大）・バックドアの設置（再侵入のための裏口の確保）・認証情報のダンプ（パスワードハッシュの収集）などが実施されます。

フェーズ4：目的達成（情報窃取・破壊）

最終目標の達成に向けた行動を取ります。機密文書・設計図・個人情報などの窃取・重要システムへの破壊工作・スパイ活動の継続・身代金要求などが目的によって実施されます。窃取したデータは暗号化された通信経路（C2サーバー）を通じて外部に持ち出されます。

フェーズ5：痕跡の消去・長期潜伏

目的を達成した後も発覚を避けながら長期潜伏を続けます。活動ログの削除・改ざん・マルウェアの正規ファイルへの偽装・バックドアの維持・不正アクセスの頻度を最小化して発覚リスクを下げるといった行動が取られます。再度有用な情報が得られる機会を狙いながら長期間潜伏します。

有名なAPT攻撃グループ

APT1（中国・Comment Crew）

APT1は米国のセキュリティ企業Mandiantが2013年に詳細なレポートで公開した中国系の攻撃グループです。「Comment Crew（コメント・クルー）」とも呼ばれます。米国・欧州・日本などの政府機関・防衛産業・航空宇宙・エネルギー分野を標的にした大規模なサイバースパイ活動を行い、数年間で数百テラバイトもの機密情報を窃取したとされています。

APT28（ロシア・Fancy Bear）

APT28は「Fancy Bear（ファンシー・ベア）」とも呼ばれるロシア軍参謀本部情報総局（GRU）に関連するとされる攻撃グループです。2016年の米国大統領選挙への介入・NATO加盟国政府への攻撃・スポーツ機関へのハッキングなど政治・軍事目的の高度なサイバー攻撃を実行しています。

APT29（ロシア・Cozy Bear）

APT29は「Cozy Bear（コージー・ベア）」とも呼ばれるロシア対外情報庁（SVR）に関連するとされる攻撃グループです。2020年のSolarWindsサプライチェーン攻撃（米国政府機関・大企業のシステムに侵入）の実行グループとして知られています。高度なステルス技術で長期間発覚を避ける能力が特徴です。

Lazarusグループ（北朝鮮）

Lazarus（ラザルス）グループは北朝鮮の国家機関（偵察総局）に関連するとされる攻撃グループです。2014年のソニー・ピクチャーズへのサイバー攻撃・2016年のバングラデシュ中央銀行から約81億円を不正送金した事件・仮想通貨取引所への攻撃など金銭目的の攻撃が多い点が特徴です。国連の推計によると数十億ドル規模の仮想通貨を窃取したとされています。

日本を標的にした主な攻撃グループ

日本を標的にしたAPT攻撃グループとして特に警戒が必要なのはAPT10（別名：Stone Panda・MenuPass）です。中国系の攻撃グループで、日本の防衛・航空宇宙・製造・医療などの企業を長年にわたって標的にしてきました。2018年には日本警察庁と米国司法省が共同で実態を公表し、中国人メンバーが起訴されています。

日本でのAPT攻撃の被害事例

東京大学未来ビジョン研究センター｜標的型攻撃で207名の情報流出か

2023年3月28日、東京大学未来ビジョン研究センターは、標的型攻撃によりセンターのPCがマルウェアに感染し、情報が流出した可能性があると公表しました。流出の可能性があるのは、センター関係者や外部関係者など207名分の情報とされています。

参照東京大学未来ビジョン研究センター、標的型攻撃で207名の情報流出か

カプコン｜標的型ランサムウェア攻撃で約35万件流出の可能性

2020年11月16日、カプコンは第三者による標的型攻撃を受け、顧客情報や従業員情報など約35万件が流出した可能性があると公表しました。攻撃者はランサムウェア「Ragnar Locker」を同社向けにカスタマイズし、サーバー情報の暗号化やログ抹消も行いました。

参照カプコン、標的型攻撃被害で顧客情報など約35万件流出の可能性

JAXA｜脆弱性を悪用したサイバー攻撃で情報流出の可能性

2023年11月29日、JAXAがサイバー攻撃を受け、情報流出した可能性が高いことが明らかになりました。脆弱性を悪用された攻撃とされ、宇宙開発に関わる機微情報が閲覧された恐れも指摘されています。研究機関を狙った高度な攻撃事例として使えます。

参照JAXA、脆弱性利用したサイバー攻撃で情報流出の可能性

APT攻撃への対策

多層防御の構築

APT攻撃に対しては単一のセキュリティ対策では不十分で、複数の防御層を組み合わせた多層防御が必要です。ファイアウォール・IDS/IPS・エンドポイントセキュリティ・メールセキュリティ・Webフィルタリングを組み合わせて攻撃の各フェーズで検知・ブロックできる環境を構築します。

EDR（エンドポイント検出・対応）の導入

EDR（Endpoint Detection and Response）はエンドポイント（PC・サーバー）上での不審な挙動をリアルタイムで検出・記録・対応するセキュリティツールです。APT攻撃で多用されるLiving off the Land攻撃の検出・マルウェアの横断的移動の追跡・インシデント発生時の詳細な調査（フォレンジック）に有効です。

従来のアンチウイルスが既知のマルウェアのシグネチャを検出するのに対し、EDRは行動ベースで未知の攻撃も検出できる点が特徴です。

ゼロトラストセキュリティの採用

ゼロトラスト（Zero Trust）セキュリティとは「何も・誰も信頼しない」を原則とするセキュリティの考え方です。社内外を問わずすべてのアクセスを継続的に検証・認証することで、APT攻撃による横断的移動を阻止できます。

多要素認証（MFA）の全面導入・マイクロセグメンテーション（ネットワークの細分化）・最小権限の原則（必要最小限の権限のみ付与）がゼロトラスト実現の基本です。

脅威インテリジェンスの活用

APTグループの最新の攻撃手法・使用するマルウェア・標的となるソフトウェアの脆弱性に関する情報（脅威インテリジェンス）を継続的に収集・活用することで先手を打った対策が可能になります。ISAC（情報共有分析センター）やセキュリティベンダーの提供する脅威インテリジェンスフィードの活用が有効です。

従業員へのセキュリティ教育

APT攻撃の多くはスピアフィッシングメールから始まります。従業員が不審なメールや添付ファイルを識別できるセキュリティ意識を持つことが最初の防衛線となります。定期的なセキュリティ教育・フィッシングメール訓練・インシデント発生時の報告フローの整備が重要です。

よくある質問（FAQ）

APT攻撃はどんな組織が標的になる？

主に政府機関・防衛産業・航空宇宙・エネルギー・金融・先端技術企業・研究機関・重要インフラが標的になります。国家の機密情報・軍事技術・知的財産・重要インフラの制御システムを狙うケースが多いです。

近年は大企業のサプライチェーンを構成する中小企業（取引先）を経由して大企業に侵入するサプライチェーン攻撃も増えており、規模の小さい企業も無関係ではありません。

APT攻撃に気づくにはどうすればいい？

APT攻撃の早期発見には通常とは異なる挙動への気づきが重要です。通常業務外の時間帯の大量データ転送・普段アクセスしないサーバーへの接続・標準管理ツールの異常な使用パターン・内部DNSへの不審なクエリなどが代表的な兆候です。EDRによるエンドポイント監視・SIEM（セキュリティ情報イベント管理）によるログ分析・NTA（ネットワークトラフィック分析）を組み合わせた継続的な監視体制が必要です。

APT攻撃グループはなぜ番号で呼ばれる？

「APT1」「APT28」などの番号はセキュリティ企業Mandiantが攻撃グループを追跡・分類するために付けた命名体系です。各グループの実際の正体（国籍・組織）は完全に特定されているわけではないため、中立的な番号で識別します。Fancy Bear・Cozy Bearなどの愛称は各セキュリティ企業が独自につけたニックネームで、同一グループに複数の呼称があることも多くあります。

まとめ

APT攻撃（高度持続的脅威）とは特定の組織を標的に高度な技術を駆使しながら数ヶ月〜数年にわたって持続的に実行されるサイバー攻撃です。国家支援を受けた高度な攻撃グループが実行するケースが多く、正規ツールの悪用・長期潜伏・ゼロデイ脆弱性の悪用により検出が極めて難しい点が特徴です。

APT1（中国）・APT28（ロシア）・Lazarus（北朝鮮）などの有名グループが世界中の政府機関・防衛産業・重要インフラを標的にしており、日本でもJAXAや防衛関連企業への攻撃が確認されています。対策にはEDRの導入・ゼロトラストの採用・多層防御・脅威インテリジェンスの活用・従業員教育の組み合わせが重要です。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから