SolarWinds Sunburst（ソーラーウィンズサンバースト）
2020年12月発覚のSolarWinds Orionサプライチェーン攻撃。SVR/APT29関与・米政府機関含む18,000組織影響。
概要
SolarWinds Sunburst（別名Solorigate、Trojan.MSIL.Sunburst、UNC2452等）は、2020年12月8日に米サイバーセキュリティ企業FireEye（現Mandiant）が自社侵害事件として公表、それを契機に発覚した史上最大規模のソフトウェアサプライチェーン攻撃で、米Texas州オースティン拠点のSolarWinds社のIT運用監視ソフトウェアSolarWinds Orion（バージョン2019.4-2020.2.1）の正規アップデート（DLL SolarWinds.Orion.Core.BusinessLayer.dll）にSunburstバックドアが組み込まれ、SolarWinds社の正規デジタル署名付きで全世界の18,000組織に配布された前代未聞のインシデント。ロシア対外情報庁SVR（Foreign Intelligence Service of Russia）配下のAPT29（Cozy Bear、別名The Dukes）の関与が2021年4月15日にバイデン政権により公式特定、ロシア外交官10名追放+経済制裁が発動された。影響を受けた組織には米財務省・米国防総省・米国土安全保障省（DHS）・米国家核安全保障庁（NNSA）・米司法省等の連邦政府主要機関、Microsoft・Cisco・Intel・NVIDIA・FireEye等の主要IT企業、Cox Communications・Belkin等の民間企業が含まれた、Cyber Pearl Harbor（サイバー真珠湾攻撃）と表現された歴史的事件。バックドア活動期間は約9ヶ月（2020年3月-12月）と長期に及び、長期諜報目的（ロシアSVR・APT29の特性と一致）が明確で、短期的破壊型のNotPetya（GRU/Sandworm）とは性格が対照的。修正・対応として、SolarWinds Orion全顧客に対し感染除去ツール提供、米連邦はCybersecurity Executive Order 14028（2021年5月、バイデン署名）を発令してゼロトラストアーキテクチャ+SBOM必須化+EDR/XDR導入義務等を米連邦システムに実施、サイバーセキュリティ政策の根本的転換点となった。累計被害額は$90B超（推定、復旧+運用停止+情報漏洩リスク等）と試算され、NotPetya $10Bを大幅に超える可能性も指摘される（直接金銭被害計算困難なため正確不明）。
主な特徴・仕組み
- 種類: ソフトウェアサプライチェーン攻撃+APTバックドア
- 発覚日: 2020年12月8日（FireEye公表）
- 攻撃期間: 2020年3月-12月（約9ヶ月活動）
- 配布経路: SolarWinds Orion正規アップデート（バージョン2019.4-2020.2.1）
- バックドア: Sunburst .NET DLL、正規デジタル署名付き
- 国家関与: ロシア対外情報庁SVR/APT29 Cozy Bear（2021/04 米公式特定）
- 対象組織数: 18,000組織（うち実際侵害は数百組織と推定）
- 主要被害組織: 米財務省、米国防総省、米DHS、Microsoft、Cisco、FireEye等
- 公式制裁: 2021年4月15日 米ロシア外交官10名追放+経済制裁
- 米大統領令: EO 14028（2021/05、ゼロトラスト+SBOM義務化）
- 累計被害推定: $90B超
スペック比較表
| インシデント | 発覚年 | 攻撃国家 | 被害組織数 | 累計被害 |
|---|---|---|---|---|
| SolarWinds Sunburst | 2020/12 | ロシアSVR/APT29 | 18,000 | $90B+ |
| NotPetya | 2017/06 | ロシアGRU/Sandworm | 多国籍企業 | $10B |
| WannaCry | 2017/05 | 北朝鮮Lazarus | 23万PC | $4B |
| Stuxnet | 2010/06 | 米イスラエル | イラン核施設 | 物理破壊 |
| Sony Pictures Hack | 2014/11 | 北朝鮮 | Sony Pictures | $300M |
具体例・対応製品
- SolarWinds Orion 2019.4-2020.2.1: 影響バージョン
- Sunburst Backdoor: SolarWinds.Orion.Core.BusinessLayer.dll内
- C&C ドメイン: avsvmcloud.com（SVRが運用）
- 被害 米財務省: 2020年12月14日侵害公表
- 被害 米国防総省: 部分的侵害確認
- 被害 Microsoft: 一部ソースコード閲覧確認、2020/12/31公表
- 被害 FireEye: Red Team Toolkit流出、12/08自社公表
- 対策 Microsoft Sunburst Hunter: PowerShellベース検出ツール
- 対策 EO 14028（2021/05）: 米連邦サイバーセキュリティ大統領令
自作PCでの選び方・注意点
SolarWinds OrionはエンタープライズIT運用監視ソフトで個人ユーザー・自作PCユーザーの直接影響は限定的、ただしサプライチェーン攻撃の概念は全ソフトウェアエコシステムに影響する重要事例。ソフトウェアサプライチェーンセキュリティ対策として、SBOM（Software Bill of Materials）による依存ライブラリ可視化、SLSA frameworkによる配布チェーン検証、Sigstore等の暗号化検証署名、SCA（Software Composition Analysis）ツール（Snyk・Dependabot等）の活用、ゼロトラストアーキテクチャの採用が標準的対策となる。Sunburst事件後、米連邦政府発のCybersecurity Executive Order 14028（2021年5月12日）により、米連邦機関納入ソフトウェアのSBOM必須化+EDR/XDR導入+ゼロトラスト移行+インシデントレポート報告義務化等が実施され、サイバーセキュリティ業界全体に強い影響を与えた。
関連用語との違い
NotPetya（2017年6月、ロシアGRU Sandworm、$10B、破壊型ワイパー）はSolarWindsと同じくロシア国家関与だが、SolarWindsはSVR/APT29の長期諜報型、NotPetyaはGRU/Sandwormの破壊型短期作戦で、ロシア国内でも担当組織と作戦目的が異なる。WannaCry（2017年5月、北朝鮮Lazarus、$4B）はランサムウェア型で、サプライチェーン攻撃ではない。Stuxnet（2010年、米イスラエル、イラン核施設物理破壊）は標的型APTの祖先だが、サプライチェーン要素なし。SolarWinds以前のサプライチェーン攻撃先例はNotPetya M.E.Doc経由（2017年6月）+ASUS Live Update Shadowhammer（2018年）等あったが、規模・国家関与・影響組織数で SolarWinds が圧倒的な歴史的位置づけ。
よくある質問（FAQ）
Q1: なぜFireEyeが自社侵害から発覚？ A: FireEye社（現Mandiant）が2020年12月8日に「ロシアAPTによる自社侵害」と「Red Team Toolkit流出」を自主公表したことが発覚の起点。同社はSolarWinds Orionを使用しており、調査の過程でSolarWindsアップデートのバックドアを特定、業界全体への警告となりました。
Q2: 18,000組織すべてが侵害された？ A: SolarWinds OrionのバックドアDLLを受け取った組織は18,000ですが、実際にAPT29の追加侵入を受けた組織は数百組織と推定されます。バックドアは「2段目展開のためのプラットフォーム」で、SVRが選別して追加攻撃した組織のみが本格的侵害を受けました。
Q3: なぜCyber Pearl Harborと表現？ A: ①国家機関含む18,000組織への影響規模、②米連邦政府主要機関への侵害、③9ヶ月間の長期諜報活動、④ロシア国家関与、⑤伝統的サイバー防御の前提を覆した「正規アップデート経由」の手法、の5要素から「真珠湾攻撃級の戦略的打撃」と業界・政府関係者が表現しました。
まとめ
- 2020年12月8日FireEye公表・SolarWinds Orion侵害
- ロシアSVR/APT29 Cozy Bear長期諜報作戦
- 18,000組織影響・米財務省/国防総省含む
- 9ヶ月活動・EO 14028で米サイバー政策大転換
- 累計被害$90B+・サプライチェーン攻撃の警鐘