イラン関連サイバーリスクの位相が変わった：短期はハクティビズム優位、長期は国家TTP再起を見越すべきです

今日の深掘りポイント

• 国内回線が1–4%まで落ち込む異例の通信制限下でも、国外拠点や事前設置のアクセス（pre-positioned access）による作戦継続は十分に起こり得ます。国家起点の攻撃は一時的に減速しても、全体の脅威は「静かに質を変える」可能性が高いです。
• ハクティビスト由来のDDoS/改ざんという“騒がしい”攻撃が前面に出る一方、実害はフィッシング起点のクラウド・ID侵害に集中しがちです。監視は「可用性の乱れ」と「認証まわりの小さな異常」を同時に追う二眼思考が有効です。
• 同盟国・関係企業を巻き込む間接被害は日本企業にも波及します。中東と接点のあるエネルギー・通信・海運、政府関連の周辺ベンダーまで視野を広げ、第三者経由の侵入に備えるべきです。
• 短期は運用対策（DDoSディフェンス、メール・ID強化）の即応が最優先、中期は公開系アプリの脆弱性管理とログ分析の精緻化、長期はサプライチェーンと危機広報の整備という「三層の備え」を推奨します。
• メトリクス全体像は「発生確度・即時性が高い一方、影響は低～中程度が中心」という読みです。これは“ノイズが多く重大なものが埋もれる”局面の合図で、優先度づけと自動化（フィルタリング）の巧拙が被害差を生みます。

はじめに

2月28日に米・イスラエルが共同で開始した「Epic Fury」「Roaring Lion」作戦を受け、イランは多面的な報復の一環としてサイバー領域での活動を強めています。注目はイラン国内のインターネット接続が1–4%まで低下したという点で、短期的には国家起点の作戦行動が制約されるとの見立てが示されています。一方で、国外に拠点を持つハクティビスト群や支援者、既に侵害済みインフラからの活動は相対的に活発化し、フィッシングやDDoSが前景化する見込みです。

この記事では、公開情報を基に現在地を整理しつつ、SOC運用で差がつく「静かだが効く」アクションを具体化します。派手なニュースの陰で生まれる検知ギャップを、今この瞬間に埋めることが狙いです。

参考: Unit 42の速報・分析を中核情報として参照しています。Palo Alto Networks Unit 42: Iranian Cyber Activity (2026)

深掘り詳細

事実（確認できていること）

• 2月28日、米・イスラエルが「Epic Fury」「Roaring Lion」作戦を開始。これに対し、イラン側の報復キャンペーンとしてサイバー攻撃の増加が観測されています。Unit 42
• イラン国内のインターネット接続は1–4%に低下。これに伴い、短期的には国家に紐づく作戦能力が制限されるとの見立てです。Unit 42
• 国外ハクティビストグループの活性化が想定され、推定で約60グループが活動中。主たる手口はフィッシングとDDoSで、影響は低～中程度が中心と予測されています。Unit 42

インサイト（ここから読み解く）

• 「制約」と「外部投射」の同時進行です。国内回線の逼迫は国家起点作戦の一部を鈍らせる一方、国外の踏み台・VPS・クラウドアセット、あるいは事前に樹立された潜伏アクセスを活用した作戦は継続可能です。短期はハクティビズムが目立ち、国家系は“静かに再構成”に入ると見るのが現実的です。
• “騒音に紛れる本丸”に注意が必要です。DDoSやWeb改ざんは目に見えて騒がしい反面、業務影響の多くはクラウド・メール・ID領域の認証回りに集中します。SOCとしては、可用性イベントの嵐に人員を吸われるほど、認証・特権・転送ルール・OAuth同意といった「地味な異常」が通り抜けやすくなります。
• 影響は“低～中”が中心でも、連続性が脅威です。短期間のローエンド攻撃が継続されるほど、広報・CS・SOCの疲労が蓄積し、意思決定が遅延します。そこに一撃の高インパクト（破壊・情報窃取）が差し込まれるのが、混合脅威下の典型的な勝ち筋です。
• 日本企業は「地理的距離」ではなく「関係距離」で測るべきです。中東と相互乗り入れがあるエネルギー・通信・海運・交易、そして政府系・重要インフラの周辺ベンダーが優先です。直接標的でなくても、抗議・威嚇・象徴的効果を狙ったDDoSや、取引先アカウントのなりすましは十分に成立します。

脅威シナリオと影響

以下はMITRE ATT&CKに沿った仮説ベースのシナリオです。自組織の資産・露出状況に合わせて優先度づけをしてください。

1. フィッシング起点のクラウド・ID侵害（目立たないが持続的）

• 想定TTP: T1566.002（Spearphishing Link）、T1110.003（Password Spraying）、T1078（Valid Accounts）、T1087（Account Discovery）、T1114（Email Collection）、T1567（Exfiltration to Cloud）
• 影響: 経営層・購買・会計のメール転送/ルール悪用、SaaS横断のデータ持ち出し、なりすまし・広報攪乱、取引先への二次被害。
• 注意点: DDoS対応に人員を取られている隙に、メールボックスルールやOAuth同意の痕跡が見逃されがちです。

2. DDoSとWeb改ざんによる象徴的・可用性攻撃（騒がしいが短期収束型）

• 想定TTP: T1498（Network DoS）、T1499（Endpoint DoS）、T1491.001（Defacement）
• 影響: 広報面の毀損、顧客接点の寸断、CS/IRラインの飽和。直接のデータ喪失は限定的でも、同時多発で業務リソースを圧迫します。
• 注意点: CDN/WAFの事前“ウォームアップ”、上流ISP/スクラビング連携の自動化が成否を分けます。

3. 公開系アプリの脆弱性悪用からの横展開（静かに効く侵入）

• 想定TTP: T1190（Exploit Public-Facing Application）、T1505.003（Web Shell）、T1059（Command and Scripting Interpreter）、T1071（Application Layer Protocol/C2）
• 影響: DMZからの内向きピボット、資格情報収集、長期的潜伏。DDoSとセットで“陽動＋侵入”の組み合わせを取る可能性があります。

4. 取引先・委託先を踏み台にした信頼関係の悪用（迂回侵入）

• 想定TTP: T1195（Supply Chain Compromise）、T1199（Trusted Relationships）
• 影響: ベンダーアカウント経由の管理ポータル侵入、請求書なりすまし、APIトークン悪用。直接防御が堅い企業ほど、ここが弱点になります。

5. 低頻度・高破壊のディスクラプション（確率は低め、影響は甚大）

• 想定TTP: T1485（Data Destruction）、T1490（Inhibit System Recovery）、T1529（System Shutdown/Reboot）
• 影響: サービス停止、復旧遅延、規制報告・信用毀損。現時点では発生確率は限定的と見ますが、混合脅威の後段で“見せしめ”として投入される可能性は排除できません。

セキュリティ担当者のアクション

即応性と持久力を両立させるため、時間軸で優先度を整理します。

• いま直ちに（48–72時間）

  • DDoS対策を“起動状態”にする
    • CDN/WAFの「アンダーアタック」モードを事前有効化、レート制御・Bot対策・地理/ASNベース制御のしきい値を見直します。
    • 上流ISP・スクラビングセンターとの連絡経路と発動基準を1枚紙で明文化し、当直に共有します。
  • メール・IDの急所を固める
    • 経営層・財務・購買・広報は強固なMFA（可能ならフィッシング耐性方式）を強制し、国外からの新規ログインに追加検証を課します。
    • 直近30日で新規作成されたメール転送/自動仕分けルール、OAuth同意（特に高権限スコープ）を全件点検します。
    • 外部からのPOP/IMAP/SMTP AUTHなどレガシープロトコルを暫定的に遮断します。
  • 公開資産の最低限の堰き止め
    • 管理系ポート/パネルの外向き公開を停止、やむを得ない場合はIP許可リストと多要素でガードします。
    • 認証エンドポイントにチューニング済みのレート制御・CAPTCHA・失敗回数ロックを適用します。

• 2週間以内

  • 監視の“二眼化”と自動化
    • 可用性（DDoS/応答遅延）指標の自動通知と、ID・メール・SaaSの「小さな異常」（新規転送、MFA変更、同時ログイン、見慣れないASN）を分離ダッシュボードで可視化します。
    • Web改ざん検知（ハッシュ監視/整合性チェック）をサイト全体に展開します。
  • 脆弱性とパッチのフォーカス適用
    • インターネット向けのアプリ・API・エッジ機器を最優先にスキャンし、重大度と露出を軸に迅速適用します。特に認証周りと逆プロキシ/WAF連携部の更新を先行します。
  • ベンダー・委託先の足並み合わせ
    • 重要取引先に対し、DDoS・フィッシング対応の連絡先、切り替え手順、障害情報共有のプロトコルを再確認します。

• 30日以内（持久戦のための仕込み）

  • ログ整備とハント運用
    • MITRE ATT&CKに沿ったハント項目を常設化します（例：T1566系の到達/クリック率異常、T1114系の外部転送、T1505.003系のWebシェル痕跡、T1190系のエクスプロイト試行増加、T1498/1499系の前兆トラフィック）。
  • 危機広報・法務のリハーサル
    • DDoS・改ざん・メールなりすましの3パターンで、一次声明・Q&A・報告ルートをテンプレート化し、1時間以内に発信できる状態にします。
  • 指標で進捗を測る
    • 「DDoS発動までの分単位」「不審転送ルールの検出から無効化までの時間」「外部委託先からの障害共有までの時間」を主要KPIに据え、週次でボトルネックを潰します。

最後に、今回のメトリクスは“今すぐ動けば被害の山は低く抑えられる”ことを示唆しています。重要なのは、騒音に反射的に追随しつつ、真に危ない静かな兆候に目を凝らす設計です。SOCの視界を二眼化し、手を打つ順番を整えれば、長期化する地政学リスクの中でも被害の幅は大きく縮まります。

参考情報

• Palo Alto Networks Unit 42: Iranian Cyber Activity (2026) https://unit42.paloaltonetworks.com/iranian-cyberattacks-2026/