Bad Connection──通信網が事業者識別子のリースを介して長年悪用されていた

1. はじめに

今回は、カナダ・トロント大学 Munk School of Global Affairs & Public Policy傘下で情報通信技術と人権・安全保障の交差点を扱う学際研究機関Citizen LabのGary MillerとSwantje Langeが2026年4月23日に公表した報告書『Bad Connection: Uncovering Global Telecom Exploitation by Covert Surveillance Actors』（ https://citizenlab.ca/research/uncovering-global-telecom-exploitation-by-covert-surveillance-actors/ ）を紹介する。

これまで「通信が監視される」と言われるとき、その文脈は国家による通信網規模の監視（典型例として2013年のスノーデン暴露、また中国国家機関に関連するアクターによる各国通信網への侵入）や、端末側スパイウェアによる個別監視など、複数の類型に分かれていた。今回の報告書はそこからさらに踏み込み、世界の携帯通信網そのものが商用監視ベンダーによって長年にわたり覆面で悪用されてきた事実を、Citizen Labが現実の攻撃ログから直接示したものである。本稿では、（1）何が監視されていたか、（2）どの期間・範囲で行われていたか、（3）その影響、（4）目的、の4軸を順に追う。技術的詳細は大幅に割愛する。

2. 通信網はなぜ監視に悪用されるのか

携帯電話の国際相互接続は、事業者間の信頼を前提として設計されている。この枠組みは、商用ベンダーによる悪用が想定されていなかった時代に作られたものであり、現代に至るまでその信頼前提が広く残置されている。攻撃者は正規の事業者識別子を偽装または商用リースで借り受けることで、自分の通信を正規のローミング通信に紛れ込ませることができる。

加入者の端末から見えるのは音声・SMS・データだけで、その裏側で交わされる制御通信は外側からほとんど検証できない。Citizen Labはこの状況を「通信網層の監視はセキュリティ研究コミュニティからほぼ完全に不可視」と表現する。長年そこに商用監視ベンダーが乗り入れていた、というのが今回の報告書の出発点である。

3. 何が監視されていたのか

Citizen Labは、独立した手口を持つ2つの監視主体を識別している。

1系統目は、通信網の制御層を悪用して加入者の位置情報を追跡する。Citizen Labはその技術パターンを、複数の顧客に提供される商用監視ベンダーの遠隔操作基盤と整合すると評価する。

2系統目は、SMSを悪用して加入者の SIMカードを直接侵害する手口と、通信網層の位置追跡とを組み合わせる。Citizen Labの表現を借りれば「SIMカード自体がセンサー兼スパイになる」タイプの攻撃である。

両者に共通する最終的な観測対象は、加入者の「位置情報」である。基地局の単位でどこに居るかを特定する形で運用されていた。

4. どの期間と範囲で行われていたのか

期間と件数の数字はそれ自体が異様である。

• 1系統目については、2022年11月以降500件超の位置追跡攻撃が記録されている。
• 2系統目については、2022年10月以降1万5,700件超の位置追跡試行が確認された。
• スウェーデンの通信事業者Telenabler ABの単一発信元からは、2023年10月～2025年4月のあいだに1,700件超の攻撃が観測され、そのうち92％超が位置追跡用途であった。
• ルワンダのAirtelの単一番号からは、2022年以降600件超の発信があり、いずれも位置追跡に使用されていた。

地理的範囲も広い。Citizen Labは、攻撃インフラ（事業者識別子）として悪用された事業者ネットワークを17ヶ所、すなわち英国・イスラエル・中国・タイ・スウェーデン・イタリア・リヒテンシュタイン・カンボジア・モザンビーク・ウガンダ・ルワンダ・ポーランド・スイス・モロッコ・ナミビア・レソト・チャネル諸島ジャージー島と特定している。

標的の側を見ると、報告書が最初に分析した被害者は中東の携帯電話事業者の加入者で、当該事業者からは「VVIP」（超重要人物）であると確認された。その後、タイ・南アフリカ・ノルウェー・バングラデシュ・デンマーク・スウェーデン・マレーシア・モンテネグロ、加えてサハラ以南アフリカの複数国の個人加入者へと標的が拡大していた。

そして、監視トラフィックの入口・中継点として繰り返し現れた事業者は、イスラエルの019Mobile、チャネル諸島ジャージー島のAirtel Jersey/Sure、英国のTango Networks UK（米国Tango Networks Incの英国子会社）の3社である。

5. その影響──通信網が監視インフラと化す

Citizen Labはこうした攻撃者を「ゴーストオペレータ（Ghost Operators）」と呼ぶ。正規事業者の識別子の背後に身を隠したまま、信頼前提の通信網に紛れ込み、外形上は正規の通信発信元として振る舞う、というありさまである。

被害は「数年にわたり検知されずに続く秘匿監視」として運用されており、規制当局・政策担当者・通信業界からも実態を捕捉しにくい期間が長く続いた。被害者像も、調査の初期に確認された VVIP個人にとどまらず、世界各地の個人加入者まで広がっている。

ただし、攻撃で観測された事業者識別子は必ずしもその事業者自身の直接関与を意味しない。Citizen Labは、通信網への接続が第三者プロバイダ・商用リース・その他の中継サービスを経由しても得られると明記している。実際、報告書はイスラエルの019Mobileについて「同社が攻撃を実行したとは考えていないが、同社のネットワークとPartner Communicationsは監視トラフィックの中継経路として利用された可能性が高い」と述べる。「悪用された側」と「悪用した側」の境界は、表に出ているネットワーク名だけでは引けない、ということである。

6. 目的について

報告書は、目的──誰が誰のために運用しているのか──の特定が困難であるとして、推察を控えている。Citizen Labは「本報告書では特定の政府・組織への直接的な帰属認定は行わないが、複数の指標は国家関与の諜報活動を支援する商用監視プラットフォームの関与を示唆する」と留保する。

そのうえで、1系統目の手口は、複数の顧客に提供される商用監視ベンダーの遠隔操作基盤と整合するとされ、2系統目については、調査報道で商用通信監視ベンダーとして暴露されたスイスのFink Telecom Servicesと「明確な関連が示される」と記される（Lighthouse ReportsとBloombergが報じた）。商用ベンダーが複数の顧客に対し、世界中の加入者の位置追跡をサービスとして提供する──こうした一般的な示唆にとどめる、というのがCitizen Labの選んだ筆致である。攻撃の「目的」をどこまで特定できるかは、現時点では商用監視市場全体の不透明性に阻まれている。

7. 端末ではなく、通信網そのものが標的化される時代

Bad Connectionが暴いたのは、通信網が事業者識別子のリースを介して商用監視ベンダーに悪用されている事態である。端末側でいくらセキュリティを固めても、SIMが挿さった瞬間に自分の位置情報がどこかへ流れていく事態は、加入者個人にはどうにもならない。Citizen Labが結論で述べる通り、世界の通信網はもはや旧来の信頼モデルに依存できないところまで来ている。