事象の概要
親イラン系とされるハッカー集団Handalaが、医療機器大手Strykerに対する報復攻撃を主張し、社内Microsoft環境の停止や受注・出荷への影響が報じられた。地政学上の緊張がサイバー空間に直結し、民間企業の業務継続を揺さぶる典型例である。重要なのは特定グループ名ではなく、「報復局面では攻撃が拡大し、波及が速い」という構造を前提に備えることだ。想定すべき被害はIT停止だけでなく、サプライチェーン断絶や情報戦まで含む。
この種の攻撃は、攻撃者のコストに比して影響範囲が過大になりやすい。直接標的だけでなく、SaaS、MSP、VPN装置、更新基盤など「多対多」の接点が狙われると、短時間で広範囲の混乱が起きる。医療・物流・金融など社会的インパクトが大きい業種は、象徴性の高さから巻き込まれやすい。従って情シスは、侵入防止よりも「検知・封じ込め・復旧」を一連の運用として回せるかが勝負になる。
技術的な詳細
報復局面でよく見られるのは、単発のDDoSや改ざんではなく、複数手口の組み合わせで意思決定コストを引き上げる戦術である。侵入経路はフィッシング、認証情報の使い回し、境界機器や公開サーバの脆弱性、委託先経由など多様化する。侵入後は正規ツール悪用（Living off the Land）で検知を避けつつ、権限昇格と横展開で被害を拡大させる。最終的に暗号化に加えて情報持ち出し、取引先への通知、DDoS併用などの二重・三重恐喝や、ワイパー等の破壊的手口に移行し得る。
注意点は「高度なゼロデイ」より「運用上の穴」で成立するケースが多いことだ。MFA未徹底、特権IDの常用、外部公開資産の放置、パッチ遅延、ログ不足があると、攻撃側は量と速度で押し切れる。さらに目的が金銭ではなく混乱やメッセージに寄ると、交渉で収束しない可能性もある。よって復旧力（Resilience）を中心に据えた設計が必要になる。
具体的な対策
明日から着手する優先順位は「侵入を減らす」「広げない」「早く戻す」の順でよい。まず認証と境界の強化として、メール/VPN/管理コンソール/特権IDのMFAを棚卸しし、未適用の例外をゼロに近づける。次に外部公開資産（古いVPN、検証環境、放置サーバ、不要な管理ポート）を洗い出し、停止かアクセス制限を行う。脆弱性管理はインターネット露出機器と認証基盤周辺を最優先で短サイクル運用に切り替える。
次に横展開対策として、特権アクセス管理を実務レベルで強める。管理者権限の常用を止め、必要時のみ昇格する運用に寄せ、サービスアカウントも最小化する。ネットワークはユーザ領域とサーバ領域、ITとOT、バックアップ系を分離し、侵害時の爆発半径を小さくする。監視は「入ってきたか」だけでなく、認証ログ、PowerShell、RDP、AD変更、権限付与など横展開の兆候を相関できるログ設計にする。
最後に復旧力で差が出る。バックアップは3-2-1に加え、オフライン/イミュータブルを確保し、バックアップ用資格情報を本番と分離する。復旧手順書は「ある」ではなく「RTO/RPO内に戻せる」状態が条件なので、四半期に1回は復元演習を実施する。受発注や連絡網の代替、紙運用、委託先連絡手順などBCPの現場手当ても同時に点検する。
まとめ
地政学起点の報復攻撃は、標的の拡大と波及の速さが特徴である。攻撃者名や流行ツールの追跡だけでは不十分で、基礎対策の完成度と復旧力が被害規模を決める。情シスは「遮断の権限」「外部連携」「公表基準」を平時に合意し、初動の遅延を潰すべきだ。
参照元：親イラン系ハッカー集団「Handala」による医療機器大手Strykerへの報復攻撃が示すサイバー紛争の新局面と企業が取るべき対策
