GoogleがUNC2814のGRIDTIDEインフラを撹乱し、Sheets API悪用C2と53組織侵害を公開しました

今日の深掘りポイント

• 攻撃者はGoogle Sheets APIをC2に偽装することで、企業ネットワークの“許されがちな”googleapisドメインを盾にしていました。従来のシグネチャやドメインブロックでは検知・遮断が難しい類型です。
• インフラ撹乱は守り手にとって大きな一手ですが、国家支援系は再編・再開に長けています。短期は騒がしく、中長期は静かに“別のSaaS”へ移るのが常道です。観測窓（SaaSログ／プロキシ／EDR）の隙間を今詰めるべきです。
• 通信・政府を狙うスパイ活動は、日本の重要インフラ（通信・防衛サプライチェーン・行政SaaS運用）とも直結します。サーバセグメントのSaaS向けEgress最小化と、API呼び出しのふるまい検知を並走させるのが要諦です。
• メトリクス的に見ても、本件は信頼性・発生確度・即時性が高いタイプの出来事で、組織横断の優先対応（ハンティングとネットワーク制御）に値します。単なるIOC適用ではなく、技術原理に踏み込んだ“構造対応”が必要です。

はじめに

クラウドとSaaSが業務そのものになった今、攻撃者が“雲に紛れる”のは必然です。Googleが中国に関連付けられるUNC2814のインフラを撹乱し、Google Sheets APIを悪用した新手のバックドア「GRIDTIDE」を明らかにした件は、その現実を強く突きつけます。政府・通信を主標的とし、少なくとも42カ国で53組織に侵入していたという報は、技術論だけでなく国の骨格に触れる話でもあります。今日は、このニュースを“検知・防御の作り替え”という視点で深掘りします。

深掘り詳細

事実関係（起きたこと）

• Googleは、中国に関連するサイバー諜報グループUNC2814のインフラを撹乱し、攻撃者が使用していたすべてのGoogle Cloudプロジェクトを終了し、関連インフラへのアクセスを遮断したと公表しています。
• UNC2814は少なくとも42カ国で53組織に侵入しており、国際政府および通信業界を主に狙っていました。
• 同グループはGoogle Sheets APIをコマンド・アンド・コントロール（C2）チャネルとして流用する新しいバックドア「GRIDTIDE」を用いて、通常業務に見えるSaaSトラフィックの中にC2通信を隠していました。
• GRIDTIDEはC言語ベースのマルウェアで、ファイルのアップロード／ダウンロード、任意シェルコマンド実行を備え、環境内での横移動にSSHを使用し、サービス作成による持続化を行っていました。
• 活動は確認・疑いベースで70カ国以上に及ぶとされています。
• 以上は公開報道に基づく事実関係です［出典: The Hacker News］です。
  • 参考: Google Disrupts UNC2814 GRIDTIDE Campaign Abusing Google Sheets for C2 です。

インサイト（どう読むか）

• SaaS API型C2の本質は“許可と雑音”です。多くの企業は業務上googleapis.comを広く許可し、HTTPSで暗号化されたAPI呼び出しはプロキシやFWで可視化が浅くなりがちです。Sheets APIは業務の自動化でもよく使われ、異常を平常に溶かし込めます。つまり検知難易度は通信先より“使い方のふるまい”に依存します。
• インフラ撹乱の効能は「被害の伸びを一時的に止め、被害側に観測と是正の猶予を与えること」です。一方で国家系はC2の置き換え（別SaaSや別クラウド、あるいは同SaaSの新しいプロジェクト）を早期に図るのが通例です。したがって、今回の対処を“構造的なEgress統制とSaaS行動分析を導入するための時間”として使える組織が伸びます。
• 政府・通信を狙う理由は「権威とハブ」にあります。行政・外交の意思決定情報、通信事業者のネットワーク管理面の視点は、他セクターへの横展開の足場になります。日本の重要インフラと省庁SaaS運用も例外ではなく、クラウド依存が進むほど、API悪用型のLoTC（Living off the Cloud）対策が急所になります。
• メトリクス観では、信頼性が高く差し迫った出来事である一方、ポジティブ要素（防御側の見通し）は限定的です。期待値を上げるポイントは、IOC適用より“ふるまいの定義”と“セグメントごとの許可の作り直し”に人的・予算的リソースを振ることです。

脅威シナリオと影響

以下は公開情報を軸に、一般的な国家系スパイ活動の定石を補って再構成した仮説シナリオです。個別事案への適合は環境に依存するため、あくまでハンティングの骨子として参照くださいです。

• シナリオA：メール経由の初期侵入からのSaaS C2常駐

  • 想定フロー（MITRE ATT&CK）
    • 初期侵入: Spearphishing（T1566）です。
    • 実行: スクリプト/ローダ（T1059）です。
    • 永続化: サービス作成（T1543）です。
    • 横移動: SSH（T1021.004）です。
    • C2: Webプロトコル経由のC2（T1071.001）+ 暗号化通信（T1573）です。
    • 流出: C2チャネル経由の逐次流出（T1041）、もしくはSaaSへのアップロード（T1567.002）の併用可能性があります。
  • 影響: 管理端末やサーバに常駐し、長期的な情報収集と認証情報搾取に繋がります。

• シナリオB：通信事業者の運用管理面（NOC/OSS/BSS）への静脈注射

  • 想定フロー（MITRE ATT&CK）
    • 初期侵入: サプライチェーン/外部委託ベンダ経由（T1195）またはVPNでの正規アカウント悪用（T1078）です。
    • 発見・権限昇格: ドメイン探索（T1018）と権限昇格（T1068）です。
    • 横移動: SSH/WinRM（T1021）です。
    • C2: Sheets API型のWeb C2（T1071.001）です。
  • 影響: コアネットワークの設定・トポロジ・監視アラート情報の窃取により、広域の観測と後続作戦の足場を提供します。

• シナリオC：政府機関のSaaS運用アカウントの窃用と混在トラフィックでの潜伏

  • 想定フロー（MITRE ATT&CK）
    • 初期侵入: クラウド認証情報のフィッシング/トークン窃用（T1556, T1550）です。
    • 永続化: OAuthトークンやサービスアカウント悪用（T1528）です。
    • C2/流出: 業務SaaSと見分けにくいAPI呼び出しに混在（T1071.001, T1041）です。
  • 影響: 管理者の可視化外で、長期のメール・文書・会議情報の収集に繋がります。

総じて、影響は「可視化されにくい長期潜伏と広域の状況認識獲得」です。運用面のシグナルは薄く、C2と業務の分水嶺を“ふるまい”で引けるかが勝負どころです。

セキュリティ担当者のアクション

今日のニュースを“構造的対策”に変えるための、時間軸別アクションプランです。

• 0〜24時間（即応）

  • プロキシ/ファイアウォール/NetFlowで、サーバ・ネットワーク機器セグメントからsheets.googleapis.com等のGoogle Sheets APIエンドポイントへの通信を緊急抽出し、定期ビート（一定間隔の小さなPOST/GET）がないかを確認します。
  • EDR/OSログで、直近90日を対象に新規サービス作成（Windowsサービス、systemd/rcスクリプト）と未知バイナリ常駐の相関を洗い出します。
  • 認証ログで、運用端末・踏み台からの異常なSSH横移動（新規ペア、夜間、地域不一致）を狩ります。
  • 既知IOCの適用は実施しつつ、検知名やルールは「googleapisへの短周期POSTの反復」「ユーザーエージェントがブラウザでないHTTPS通信」「業務と関係ないサーバからのSaaS API利用」などの“ふるまい”に寄せます。

• 24〜72時間（封じ込め）

  • セグメント別Egress制御を暫定導入し、サーバ/ネットワーク機器セグメントからのSaaS全面許可をやめ、業務上必要なドメインの許可リスト方式に切り替えます。Google関連は“必要なAPIのみに限定”を原則にします。
  • Google Workspace等のSaaS監査ログで、自組織のクライアントID/スコープ以外の異常なAPI利用を棚卸しし、OAuth同意/トークン寿命/スコープ制限を強化します。
  • ハニープロキシ/カナリア端末で、googleapis向けの異常UA・不正SNIを“踏ませる”仕掛けを作り、侵入有無の早期シグナルを設置します。

• 1〜4週間（構造化）

  • “SaaS-Aware NDR/Proxy”の導入・拡張を検討し、少なくともSheets/Drive/Graph/APIコール粒度の可視化と異常検知を運用可能にします。TLS復号が難しい場合でもSNI/JA3/リクエスト頻度・サイズの統計特徴での検知を整備します。
  • サーバセグメントの“業務に不要なSaaS全面遮断”を恒久化し、例外は申請制・期限付きにします。CI/CDや自動化が必要とするSaaSは固定出口・固定識別子でひも付けます。
  • レッドチーム/パープルチーム演習で「Sheets API／他社SaaS APIを使ったC2」をテーマに模擬侵攻を実施し、検知遅延・運用回避点を洗い出します。

• 恒常運用（ガバナンス）

  • “SaaS悪用型C2”を正式な脅威シナリオとしてリスク台帳に追加し、年次監査のチェック項目（Egress許可、SaaS監査ログ、特権アカウントのクラウド利用ポリシー）に落とし込みます。
  • 重要インフラ/公共部門の読者は、委託先・一次下請のネットワーク分離とSaaS利用態様を再評価し、ベンダ網からのgoogleapis通信の扱いを明確化します。
  • インシデント対応計画に“クラウド/プラットフォーム事業者との連携窓口”を明記し、素早いテイクダウン要請やログ保全依頼の手順を整えます。

最後に、今回の撹乱は守り手にとって貴重な“間”です。攻撃者は別のSaaSや同一SaaSの新プロジェクトに移るだけ、という見方は悲観ではなく現実です。だからこそ、Egressとふるまいに軸足を置いた対策に、今すぐ手を付ける価値があります。

参考情報

• The Hacker News: Google Disrupts UNC2814 GRIDTIDE Campaign Abusing Google Sheets for C2 です。