【8TB窃取の主張】Foxconn がランサムウェア「Nitrogen」に侵入された ─ 製造業の二重恐喝から学ぶ対策

Posted at 2026-06-15

2026年5月、Apple・Nvidia・Google・Dell などの製造を担う世界最大の電子機器受託メーカー Foxconn（鴻海） の北米工場がサイバー攻撃を受けた。ランサムウェアグループ Nitrogen が犯行を主張し、自身のリークサイトに Foxconn を掲載した。

ここで大事なのは事実と主張を分けること。攻撃者は派手な数字を出すが、それが全部本当とは限らない。整理する。

確認済みの事実 vs 攻撃者の主張

	内容	確度
北米工場への攻撃発生	Wisconsin州・Texas州の施設で運用障害	確認済み（Foxconnが公式に認めた）
運用への影響	Wi-Fi・基幹ネット停止、従業員帰宅、手書き業務へ切替	確認済み（報道）
窃取データ量	約8TB・1,100万件超	攻撃者の主張
窃取データの中身	Apple/Nvidia/Intel/Google/Dell の設計図・機密文書	攻撃者の主張
Appleサーバ設計図	リークデータに本物が含まれると独立検証	一部検証済み（AppleInsider）
顧客データ流出の有無	──	Foxconnは確認を拒否

ポイントは、運用障害は事実、8TB・顧客機密という規模は攻撃者の言い分、そしてAppleサーバの設計図だけは第三者が真正性を確認した、という三層構造。攻撃者の主張をそのまま「Foxconnから8TB流出」と書くのは正確ではない。

「IT障害」が実はランサムウェアだった、と判明するまで約10日。初動のトリアージで侵害をどれだけ早く特定できるかが、被害公表と対応の速さを分ける。

Nitrogen は2023年出現のグループ。流出した Conti のビルダーを基に独自亜種を開発し、RaaS（Ransomware-as-a-Service）として運用されているとされる。典型的な手口はこうだ（※Foxconnでの侵入経路自体は未公表）。

マルバタイジング：検索広告で WinSCP・AnyDesk・PuTTY・Cisco AnyConnect 等のトロイの木馬化インストーラを配布。IT担当者を狙う
DLLサイドローディングで Cobalt Strike / Sliver を実行し永続化
二重恐喝：暗号化と同時にデータを窃取し、「払わなければ公開する」と脅す

そして衝撃的な弱点が指摘されている。Nitrogen の ESXi 暗号化ツールには欠陥があり、身代金を払っても復号できないケースがある（複数ベンダーが報告）。つまり「払えば戻る」が成立しない。バックアップなしの被害は致命傷になる。

Foxconn は Apple・Google・Nvidia・Dell など複数の大手の製造を一手に担う。1社が破られると、複数顧客の設計図・知財が一気にリスクにさらされる。サプライチェーンの「結節点」が狙われる構造だ。

実際 Foxconn はこれが初めてではない。2020年 DoppelPaymer、2022年 LockBit（メキシコ拠点）、2024年 LockBit（子会社）と繰り返し標的になっている。価値ある知財と複雑なサプライチェーンを持つ組織は、優先的に狙われ続ける。

OT（工場）ネットワークとITネットワークを分離する：今回はWi-Fi・基幹ネットの全面停止で生産が止まった。製造系を分離し、横展開を遮断する設計が必須
オフライン保管・復元テスト済みのバックアップを持つ：Nitrogen は払っても復号できないことがある。身代金を復旧手段に据えない
二重恐喝への対応計画を用意する：暗号化を防いでもデータ窃取の恐喝は残る。流出時の法務・広報・顧客通知をプレイブック化する
マルバタイジング対策：ソフトは承認済み社内リポジトリからのみ導入させ、検索広告経由のダウンロードをブロックする
サプライチェーンのエクスポージャー管理：委託先に預ける機密を最小化し、契約上のセキュリティ要件とインシデント通知義務を課す
「IT障害」を侵害として疑う初動：障害発覚から確認まで10日空いた。早期トリアージと封じ込めの能力を高める

報道を読むときは「誰が言っているのか」を見る癖をつけたい。攻撃者の主張・企業の公式発表・第三者の検証は、確度がまったく違う。