中国政府系ハッカー、ホテル客室でPCをUSB起動し経営層端末にバックドア

何が起きたのか

CrowdStrikeの2026年脅威ハンティングレポートによると、中国の国家支援を受けたとみられるハッカー集団「OVERCAST PANDA」は、2026年3月から5月にかけて、海南島で開催された農業関連のカンファレンスに参加していた企業経営層のノートPCを標的にしました。侵入者は午後8時ごろと午後9時57分ごろにそれぞれ客室に入り、USBメモリからPCを起動してバックドア「FlowCloud」をストレージに直接書き込んだとみられます。その後、PCを再起動して立ち去ったといいます。ネットワーク侵入やフィッシング、ログインページでの認証情報窃取は一切なかったとされています。

翌朝、経営層がPCを起動すると、トリガーが作動してFlowCloudが読み込まれ、キーロギングや画面キャプチャ、ファイル収集、認証情報の窃取が始まったとみられます。CrowdStrikeのOverWatchチームはこの侵入を妨害したとしていますが、同社の上級副社長アダム・メイヤーズ氏は、OVERCAST PANDAが今後も攻撃を続ける可能性が高いと評価しています。

既存の防御がなぜ効かないか

この攻撃が見逃された理由について、CrowdStrikeは既存の対策がOS起動後に動作する前提で設計されているためだと説明しています。EDRはOSが読み込まれてエージェントが動いて初めて監視を開始し、MFAはログイン試行を待ちます。しかし今回の初期侵入は、OSが起動する前、EDRエージェントが動作していない領域で完結しました。FalconはPC起動後にFlowCloudのプロセスを検知しましたが、その時点でインプラントとトリガーはすでにディスク上に存在していたというわけです。

つまり、USBへの書き込みから次の起動までの間は、端末が感染したまま検知されない空白期間が生じます。メイヤーズ氏は「我々はマシンが起動した後の可視性を持つ」と説明しました。この空白期間の存在は、Fal.Con 2026でAIセキュリティ製品群が発表される約1か月前に公表されています。

USBを使った手口の系譜

FlowCloudは今回のために新しく作られたわけではありません。Proofpointは2020年に、米国の公益事業を狙うフィッシングキャンペーンでFlowCloudを確認しています。また、NTT SecurityのSOCは2022年初めから、日本企業の海外拠点でUSB経由の感染を追跡してきました。このため、今回の手口はUSBメディアを使った攻撃の延長線上にあるとみられます。

セキュリティ研究者は、PCが放置されている隙に物理的にアクセスして改ざんする攻撃を「evil maid attack」と呼びます。2009年にヨアンナ・ルトコフスカ氏がUSBブートでの実証を示して以来、概念は知られていましたが、国家情報機関がホテルの客室への立ち入りとマルウェア展開を組み合わせた事例は新しいとメイヤーズ氏は指摘します。別の集団「MUSTANG PANDA」は、落としたUSBスティックを標的に挿させる手口を使いますが、今回はPCをUSBから起動させる点が異なります。

残る不確実性と注意点

CrowdStrikeはOVERCAST PANDAの背後に中国国家安全部(MSS)があるとみています。ただし、これは推測であり、実際に客室に入った人物がMSSや公安部の職員なのか、ホテルの清掃スタッフを買収・強制したのかは公表されていません。メイヤーズ氏は、ホテルへの立ち入り自体は物理セキュリティ担当者にとって一般的な関心事だと話しています。

また、2026年半ばには米国在住のメディア関係者を狙った同様の手口による攻撃が別にあったとされます。農業カンファレンスを標的にした理由は、中国の情報収集上の優先事項に関係するとみられますが、詳細は記事では明らかにされていません。CrowdStrikeが追跡する290の敵対勢力の中でも物理アクセスを伴う攻撃はまれで、今後の広がりを見極める必要があります。