アメリカの国家核安全保障局（NNSA）傘下にある**カンザスシティ国家安全保障キャンパス（KCNSC）**が、Microsoftの共有プラットフォーム「SharePoint」の脆弱性を突かれ、外部ハッカーによる侵入を受けたことが明らかになりました。
今回の攻撃は、核兵器関連施設へのサイバー侵入としては前例の少ない重大インシデントです。
📄 参考：
🧨 KCNSCとは？──アメリカの核防衛を支える重要施設
KCNSCは、アメリカの核防衛体制を支える重要拠点であり、
核弾頭そのものではなく、非核の機械・電子・工学的コンポーネントの設計・製造・保守を行っています。
つまり、同施設は「核兵器を安全かつ確実に作動させるための頭脳と神経」に相当します。
この施設が外部から侵入を受けたという事実は、単なる情報流出を超えた国家安全保障上のリスクを意味します。
🕳️ 悪用された脆弱性：SharePointの2つの欠陥
攻撃に悪用されたのは、Microsoftが提供するコラボレーションツール「SharePoint」のゼロデイ脆弱性。
具体的には以下の2件です。
- 🧩 CVE-2025-53770：スプーフィング（なりすまし）脆弱性
- 💻 CVE-2025-49704：リモートコード実行（RCE）脆弱性
このうちCVE-2025-49704は、攻撃者が遠隔で任意コードを実行し、サーバー全体を制御可能にする深刻な欠陥でした。
Microsoftは攻撃発生日（2025年7月18日）の翌日、緊急パッチを即日配布。
しかし、修正よりも早く攻撃が仕掛けられていたことが判明しています。
🧠 攻撃の詳細と影響範囲
今回の侵入は、KCNSCのIT部門が使用するシステムを標的にして行われました。
エネルギー省の報告によると、影響を受けたのはごく一部のシステムであり、
「すべての環境はすでに復旧段階にある」と発表されています。
ただし、CSO Onlineが取材したサイバー専門家によれば、
「KCNSCの生産ネットワークは物理的に隔離されている可能性が高いが、
それでも安全とは限らない。脆弱な通信経路を通じて製造環境への間接的侵入が起こり得る」
と警告しています。
これは、兵器部品の設計・品質管理データが不正にアクセスされる可能性を示唆するものです。
🕵️♂️ 中国とロシア、両国の関与が疑われる複雑な構図
Microsoftによると、SharePointのゼロデイ脆弱性は、
中国政府系ハッカーグループ「Linen Typhoon」および「Violet Typhoon」が最初に利用したとみられています。
しかし今回のKCNSC侵入では、ロシア系アクターの関与も指摘されています。
サイバーセキュリティ企業Resecurityによると、
- 中国グループが最初にゼロデイを開発・展開
- その後、ロシアの金銭目的ハッカーが独自に再現・悪用
という“二重利用”の形跡が確認されているとのことです。
このことから、国家主導のサイバー戦と犯罪的ハッキングの境界線がますます曖昧になっている現実が浮き彫りになりました。
🧰 Microsoftと政府の対応：M365の防御網で影響を最小化
エネルギー省の報道官は次のようにコメントしています：
「当省はMicrosoft 365クラウドを広く採用しており、
高度なセキュリティ監視によって影響は限定的だった。
現在すべてのシステムが正常復旧段階にある。」
Microsoftも脆弱性の修正パッチを即時公開し、
SharePointのユーザーに**「最新アップデートの適用を最優先すべき」**と警告しています。
同社はこれまでにも、中国・北朝鮮・ロシアによる国家レベルの侵入事例を多数報告しており、
今回の攻撃もその延長線上にあると見られます。
🔐 今後の課題：国家インフラ防衛の限界
今回の事件は、**「政府機関のデジタル依存度」と「サプライチェーン脆弱性」**の両方を浮き彫りにしました。
クラウド移行やM365の採用によって利便性は向上した一方、
攻撃対象の広がり（Attack Surface）が飛躍的に拡大しているのが現状です。
KCNSCのような防衛関連施設であっても、
「Microsoft系アプリのゼロデイ攻撃ひとつ」で侵入可能である事実は、
国家インフラ防衛の難しさと課題の深刻さを物語っています。
