APT&標的型攻撃
2026年上半期のAPT動向を分析: 「信頼」を武器化する攻撃者
国家との関連が疑われる攻撃者は、攻撃チェーンのあらゆる段階にAIを組み込みながら、防御側がすでに信頼しているサービスの内側に自らのインフラを潜ませています。本レポートでは、こうした活動を突き動かす地政学的背景と、防御側が次に優先すべき対策を読み解きます。
APT（Advanced Persistent Threat）は、2026年上半期を通じて攻撃手法を高度化させました。AIは、エクスプロイトコードの強化から偵察やラテラルムーブメントの自律的な実行まで、侵入ライフサイクルのより多くの段階で使われるようになっています。本レポートでは、中国、ロシア、朝鮮民主主義人民共和国（北朝鮮）、イランに関連する活動について、6カ月にわたる調査と実際の観測結果をまとめ、現在の攻撃者の手口をセキュリティ責任者に示します。また、各地域の政治的背景が、標的の選定や攻撃手法に引き続きどのような影響を及ぼしているかを解説します。
既知およびゼロデイの脆弱性は短期間で武器化され、ソフトウェアサプライチェーンも有力な侵入口であり続けました。攻撃者は、主要クラウドプラットフォーム、開発者向けトンネル、パブリックブロックチェーン、ペーストサイトなど、企業がすでに信頼しているサービス上に遠隔操作用のC&Cサーバを設置するケースを増やしています。これにより、不正な通信が通常の業務トラフィックに紛れ、テイクダウンにも耐えやすくなります。重要インフラと物理世界の標的も再び焦点となりました。インターネットに露出した燃料タンクゲージへの直接的な改ざんに加え、アドバタイジングインテリジェンス（ADINT）を使い、マルウェアなしで追跡する新たな手法も確認されています。
主要な脅威エコシステムにおけるAI活用の野心と制約
中国
「国家との関連が疑われ、規模を拡大」 中国との関連が疑われるグループは、2026年上半期のほぼすべての段階でAIを活用しました。Earth Krahangは生成AIを使って公開エクスプロイトを大規模スキャナに改良し、Earth Nagaは「バイブコーディング」でバックドアローダを開発しました。別の攻撃者は、標的組織のネットワーク内でスキャン、認証情報の収集、ラテラルムーブメントを自律的に行うAIエージェントを展開しています。そのほか、Microsoft 365の下書きメールやブロックチェーン取引の中にC&Cを隠す事例も確認されました。SHADOW-EARTH-067は、こうしたステルス性にBring Your Own Vulnerable Driver（BYOVD）ルートキットを組み合わせ、カーネルレベルでエンドポイント検知・対応（EDR）を無力化しました。
北朝鮮
「窃取を資金源に台頭」 北朝鮮との関連が疑われるセル（活動単位）は、国家の資金調達を引き続き重視しました。BlueNoroffはAxiosのメンテナのアカウントを侵害し、週間ダウンロード数が1億回を超えるパッケージを通じてリモートアクセス型トロイの木馬（RAT）を展開しました。一方、Void Dokkaebiは、偽の就職面接用リポジトリを使ってマルウェアを拡散しました。別の北朝鮮との関連が疑われる攻撃者はDrift Protocolから2億8,500万米ドルを窃取し、また別の攻撃者はKelpDAOから2億9,200万米ドルを流出させています。ITワーカーの潜入から得られる継続的な収益も、これに加わります。制裁と脆弱な電力網のため、北朝鮮国内ではフロンティアAIを利用しにくい状況にあります。そのため、AI誘導ミサイル実験などの構想を支える目的で、海外のサーバや借用したAIモデルに依存しています。
ロシア
「ハードウェアの制約下で軍事利用を推進」 ロシアとの関連が疑われるグループは、素早く攻撃を仕掛けながら活動を隠蔽しました。Pawn Stormは、Officeの新たなゼロデイエクスプロイトを数週間で武器化し、国防省から国境警備当局まで、戦争に関連する幅広い標的を攻撃しました。一方、Earth Dahuは、一部の標的で修正されていなかった既知のWinRAR脆弱性を悪用し続けました。Turlaは、特にテイクダウンが困難なインフラを利用しています。Kazuarツールセットを、ネットワークごとに1つのノードだけが外部と通信するボットネットへと作り替えました。これとは別に、Laundry Bearは戦時下の慈善団体を装い、使い捨てのペーストサイト上でC&Cを運用しました。
イランおよびその他の地域
「既製ツールで攻撃能力を増強」 イランとの関連が疑われる活動では、諜報活動と犯罪の境界が曖昧になってきています。CyberAv3ngersは、燃料システムなどのOT（制御システム）を標的とする再利用可能なマルウェアプラットフォーム「IOCONTROL」との関連が指摘されています。また、米国内の施設では、インターネットに露出した燃料タンクゲージが攻撃を受け、イランとの関連が疑われています。Earth Vetala（MuddyWater）は、自前のツールと犯罪者プラットフォームから借り受けたバックドアを組み合わせ、パブリックブロックチェーンの参照によってC&Cを解決していました。その他の地域の活動では、マルウェアを一切展開せず、ADINTを使って個人を大規模に追跡する手法も明らかになりました。
TrendAI による「APT分析レポート」
ここまでに紹介した内容は、全体の一部にすぎません。今年上半期のAPT動向を分析した「2026年上半期APT分析レポート」では、国家との関連が疑われるAPTの活動が2026年上半期にどのように変化したのか、また、その変化が今後の防御側にとって何を意味するのかを、中国、北朝鮮、ロシア、イランの各地域に関するキャンペーンの全容や技術的指標から地域別に分析し、解説しています。主な内容は次のとおりです。
- AI、信頼されたインフラの悪用、地政学的な連携が脅威情勢をどのように変えているかをまとめた5つの重要ポイント
- 中国、北朝鮮、ロシアを対象に、国家的優先事項がサイバー活動に及ぼす影響を地域別に分析した政治動向
- AIを活用した開発、正規サービスのC&Cチャネルとしての悪用、マルチステージのフィッシング、BYOVD、サプライチェーンの汚染、暗号資産の窃取、OTへの攻撃、ADINTによる監視を取り上げた詳細なキャンペーン分析
- 2026年上半期に特に注目された戦術・技術・手順（TTPs）の解説
- セキュリティ運用、ガバナンス、リスク管理の担当者別に整理した、優先度の高い緩和策
このレポートは、組織のセキュリティに関わるすべての方を対象としていますが、チームによって得られる知見は異なります。
- 最高情報セキュリティ責任者（CISO）やセキュリティディレクターなどのセキュリティ責任者は、AIの導入、信頼されたインフラの悪用、地政学的な連携が長期的なリスクの構図をどう変えているかを把握できます。この視点は、予算の優先順位を決め、経営幹部に状況を説明する際に役立ちます。
- セキュリティオペレーションセンター（SOC）チームと脅威インテリジェンスアナリストは、中国、ロシア、北朝鮮、イランに関連する攻撃者の日々の手口を確認できます。AIを活用したエクスプロイト開発から、信頼されたクラウドサービスやブロックチェーン内に隠されたC&Cまでを取り上げています。
- エンジニアは、本分析を基に、BYOVDルートキット、クラウドとアイデンティティの悪用、サプライチェーン侵害に対する検知ロジックを強化できます。
- リスク、ポリシー、ガバナンスの各チームは、特定の地域、セクター、OTが標的となる理由を説明するために必要な地政学的背景を把握し、チーム横断のリスク評価や計画に活用できます。
2026年下半期に向けた脅威情勢の全体像と、組織に及ぼす影響を把握するために、ぜひダウンロードしてご覧ください。
なお「APT分析レポート」は、より広範な継続的リサーチである「APT Research Report」（TrendAI Vision One™ Threat Intelligence Hubで隔月提供）に基づいています。ここで取り上げた個々のキャンペーンや指標はすべて、全容を必要とするチーム向けによりタイムリー、且つ、さらに詳しく解説されています。
参考記事
2026 H1 APT Report: How APTs Are Weaponizing Trust in the Age of AI
By TrendAI™ Research
翻訳：与那城 務（Platform Marketing, TrendAI™ Research）