影響工作はますます洗練され、巧妙化し、戦争が進むにつれてソーシャル メディアの "ソックパペット" のネットワークが展開されてきました。戦争を通じて、こうした影響工作はイスラエル人を威嚇する一方で、イスラエル政府の人質への対応や軍事作戦を批判し、イスラエルを分極化させ、最終的にはイスラエルを不安定化させようとしてきました。
やがてイランは、イスラエルの軍事作戦への支持を弱めるために、イスラエルの政治的同盟国や経済的パートナーに対するサイバー攻撃や影響工作へと転じました。
紛争が長引くにつれて、特に戦争が拡大する可能性が高まる中、イランのサイバー作戦および影響工作がもたらす脅威は増大すると予想されます。イランやイラン系アクターの大胆さが増し、彼らの協力関係が急拡大していることは、11 月の米国大統領選を前に脅威が高まることを予感させます。
10 月 7 日のハマスによるテロ攻撃以来、イランのサイバー作戦と影響工作は複数のフェーズを経て進展しています。彼らの作戦には、一貫して不変の 1 つの要素があります。それは、チャンスを見つけて利用するサイバー標的設定と、正確さや影響の範囲を誤認させるような影響工作を組み合わせるというものです。
本レポートは、10 月 7 日から 2023 年末までのイランの影響工作とサイバー対応型影響工作に焦点を当て、2023 年春までの動向と作戦について取り上げます。
イスラエルとハマスの戦争の初期段階において、イランのグループは受動的に行動を起こしていました。イランの国営メディアは、主張するサイバー攻撃について誤解を招くような詳細情報を発表し、またイランのグループは、過去の作戦からの古い素材を再利用し、戦争の前から持っているアクセスを再利用し、主張するサイバー攻撃の全体的な範囲と影響を誇張しました。
戦争が始まって 4 か月近くが経過しましたが、Microsoft のデータからは、イランのグループがサイバー作戦または影響工作を、10 月 7 日にイスラエルを攻撃するというハマスの計画と連携させていたことを示す明確な証拠はまだ見つかっていません。むしろ、Microsoft のデータや調査結果の大半は、イランのサイバー アクターがイスラエルに対抗するために、ハマスの攻撃後、サイバー作戦と影響工作を迅速に急拡大し、受動的に行動を起こしていることを示唆しています。
10 月中旬から下旬にかけて、イランのグループの多くがイスラエルに焦点を移しました。イランのサイバー対応型影響工作は大部分が受動的な行動、でっち上げ的、あるいはその両方であったものから、破壊的なサイバー攻撃を含むものへと変化し、作戦の対象となる標的がますます増えました。これらの攻撃には、データの削除、ランサムウェア、そしてモノのインターネット (IoT) デバイスの調整などが含まれます。6また Microsoft は、イランのグループ間の連携が強まっている証拠も確認しています。
戦争が始まって最初の週に、Microsoft 脅威インテリジェンスは、イスラエルを標的に活動している 9 つのイランのグループを追跡しました。その数は 15 日目までに 14 グループに増えました。いくつかのケースでは、IRGC や MOIS の複数のグループが同じ組織や軍事基地をサイバー作戦や影響工作で標的にしているのが確認され、連携していること、またはイラン政府が設定した共通の目的に向かっていること、あるいはその両方の可能性を示唆しています。
サイバー対応型影響工作もまた急増しています。Microsoft は、戦争の最初の週にイスラエルを標的とし、性急に実施された 4 つのサイバー対応型影響工作を確認しました。10 月末までに、そのような作戦の数は 2 倍以上に増加しました。これは、これまでで最も速いテンポであり、このような作戦が大幅に加速していることがわかります (図 4 参照)。
10 月 18 日、Microsoft が Storm-0784 として追跡している IRGC の Shahid Kaveh Group は、カスタマイズされたランサムウェアを使用して、イスラエル内のセキュリティ カメラに対してサイバー攻撃を行いました。そして、サイバー ペルソナのひとつである "Soldiers of Solomon" を使って、ネバティム空軍基地のセキュリティ カメラとデータを略奪したと偽りを主張しました。Soldiers of Solomon が流出させたセキュリティ カメラの映像を調べてみると、それはテルアビブの北にあるネバティム通りのある町のもので、同名の空軍基地ではないことがわかりました。実際、犠牲者の所在地を分析したところ、軍事基地の近くにいた人はいませんでした (図 5 参照)。イランのグループは破壊的な攻撃を開始したものの、その作戦はほとんど場当たり的で、影響工作を継続的に活用して攻撃の精度や効果を誇張していました。
10 月 21 日には、IRGC グループ "Cotton Sandstorm" (通称 Emennet Pasargad) が運営する別のサイバー ペルソナが、シナゴーグのデジタル ディスプレイを改ざんし、イスラエルのガザでの作戦は "ジェノサイド" であると呼ぶメッセージを表示した攻撃者のビデオを共有しました。 7これは、比較的ソフトな標的に対するサイバー攻撃に直接メッセージを埋め込む方法です。
このフェーズにおいて、イランの影響工作活動は、より広範かつ洗練され、巧妙な形式を使用して増幅を行いました。開戦から 2 週間は、巧妙で高度な増幅はほとんど検出されなかったことを考えると、作戦が受動的な行動であったことが示唆されます。戦争が始まって 3 週目には、イランで最も影響力のあるアクターである Cotton Sandstorm が、10 月 21 日に 3 つのサイバー対応型影響工作を開始しました。このグループでよく見られるように、彼らはソーシャル メディア上のソックパペット ネットワークを利用して作戦を増幅させましたが、その多くは、従来のようにイスラエル人であることを偽ったものではなく、急遽再利用されたようでした。Cotton Sandstorm は、真正なものであると見せかけるために、侵害されたアカウントを利用して、テキスト メッセージやメールを大量に送信し、自分たちの活動を増幅したり誇ったりしたりしたことが何度もありました。8
11 月下旬から、イランのグループはサイバー対応型影響工作を、イスラエル以外の、イランがイスラエルを援助していると認識している国々にまでにも拡大し、イスラエルの軍事行動に対する国際的な政治的、軍事的、経済的支援を損なう可能性が非常に高くなっています。この標的の拡大は、イエメンでイランが支援するイスラム教シーア派武装組織フーシ派が、イスラエルに関連する国際海運を攻撃し始めたことと一致しています (図 8 参照)。9
イランのサイバー対応型影響工作は、この最新のフェーズでも巧妙さを増しています。彼らは本物のイスラエル人らしく見えるように、名前を変えたり、プロフィールの写真を変えたりして、さらに偽装工作を洗練させていました。その一方で、彼らはメッセージングの重要な要素として AI を使うなど、イランのアクターには見られなかった新しいテクニックを駆使していました。Microsoft は、Cotton Sandstorm が "For Humanity" というペルソナを装い、12 月に UAE やその他の国でストリーミング テレビ サービスを妨害したと判断しています。For Humanity は Telegram で動画を公開し、同グループが 3 つのオンライン ストリーミング サービスをハッキングし、AI が生成したと見られるキャスターを起用したフェイク ニュース放送によって複数のニュース チャンネルを混乱させる様子が映されていました。そこでは、イスラエルの軍事作戦によって負傷したり殺害されたりしたパレスチナ人の映像であると主張されていました (図 7)。14 アラブ首長国連邦、カナダ、英国の報道機関や視聴者は、BBC を含むストリーミング テレビ番組で、For Humanity の主張と一致する妨害を受けたと報告しています。15
イランの作戦は、不安定化、報復、威嚇、イスラエルに対する国際的支援の弱体化という 4 つの大きな目的に向かって行われました。これら 4 つの目的はすべて、イスラエルとその支持者の情報環境を弱体化させ、一般的な混乱と信頼の欠如を生み出そうとするものでもあります。
情報空間における目的を達成するために、イランは過去 9 か月間、影響工作における 4 つの戦術、技術、手順 (TTP) に大きく依存してきました。これには、なりすましの利用や、標的の対象を活動させる能力の強化が含まれ、テキスト メッセージ キャンペーンや、影響工作を増幅させるための IRGC 系メディアの利用が増加しています。
同様に、イランは、さまざまな政治的な右派と左派における、説得力のある架空のイスラエル活動家団体になりすますことも増えています。イランはこうした偽の活動家を通じてイスラエル社会に潜入し、彼らの信頼を得るとともに、不和の種をまこうとしています。
Microsoft は、MOIS 系列の 2 組のグループ、Storm-0861 と Storm-0842 が、10 月下旬にイスラエルで、12 月下旬にアルバニアで、破壊的なサイバー攻撃を共同で行ったと判断しています。どちらのケースでも、Storm-0842 がワイパー型マルウェアを実行する前に、Storm-0861 がネットワークへのアクセスを提供していた可能性が高いとみています。同様に、Storm-0842 は、Storm-0861 がアクセスを得た後、2022 年 7 月にアルバニア政府機関にワイパー型マルウェアを実行しました。
10 月には、別の MOIS 関連グループである Storm-1084 も、Storm-0842 が "BiBi" ワイパー (マルウェアがワイプされたファイルの名前を "BiBi "に変更したことから命名) を展開したイスラエルの組織にアクセスしていた可能性があります。破壊的な攻撃において Storm-1084 がどのような役割を果たしたかは明らかではありません。Storm-1084 は、2023 年初頭、別の MOIS 系列グループ Mango Sandstorm (別名 MuddyWater) によって、イスラエルの別の組織に対して破壊的なサイバー攻撃を行いました。33
戦争勃発以来、Microsoft 脅威インテリジェンスは、MOIS 系列のグループ、Pink Sandstorm とヒズボラのサイバー部隊との協力関係も検知しています。Microsoft は、インフラストラクチャの重複やツールの共有を確認してきました。イランがヒズボラとサイバー作戦で協力することは、前例がないわけではありませんが、戦争によって、国境を越えたこれらの集団が作戦上さらに緊密に連携する可能性があるという懸念すべき事態をもたらしています。34この戦争におけるイランのサイバー攻撃はすべて影響工作と結びついているため、イランがアラビア語を母国語とする人物を活用することで、不確実なペルソナの信憑性を高め、影響工作とそのリーチを向上させている可能性もあります。
イスラエルとハマスの対立が続く中、特に新たな戦線でのエスカレーションの可能性が高まる中、イランのサイバー作戦と影響工作の脅威が増大すると予想されます。戦争の初期には、イランのグループは性急に作戦を実施したり、あるいは単にでっち上げたりしていましたが、最近のイランのグループは作戦のペースを落とし、必要なアクセスを入手したり、より手の込んだ影響工作を展開したりするための時間を確保しています。本レポートで概説された戦争のフェーズから明らかになっているのは、イランのサイバー作戦と影響工作が徐々に進展し、標的を絞り、協力的で破壊的なものになってきているということです。
イランのアクターはまた、標的を設定することにおいてますます大胆になってきており、特に病院に対するサイバー攻撃では、米国政府のレッド ラインを試すような行為も平然と行っています。IRGC が米国の水道管理システムを攻撃したのは、イスラエル製の機器を攻撃する正当性を主張することで、米国政府を試す巧妙な策略であったようです。
2024 年 11 月の米国選挙を前に、イランおよびイラン系グループ間の協力関係の強化は、選挙の防衛に携わる人々にとってより大きな挑戦となることを予感させます。防衛者はもはや、少数のグループを追跡することで平安を得ることはできません。むしろ、アクセス エージェント、影響工作グループ、サイバー アクターの数の増加によって、より複雑で絡み合った脅威の環境が生み出されています。
Microsoft 脅威インテリジェンス ポッドキャストで、2020 年の米国大統領選挙とイスラエル ハマス戦争に関連するイランの行動を中心に、イランのサイバー対応型影響工作についてエキスパートの話を聞きましょう。この議論では、なりすまし、現地の人の採用、メールやテキスト メッセージを活用した増幅など、イランのアクターが用いる戦術を取り上げます。また、イランのサイバー活動の複雑さ、協力的な取り組み、プロパガンダの消費、クリエイティブな戦術、影響工作の帰属に関する課題などについても、文脈を整理します。
