Microsoftの脅威アクター命名規則：Typhoon、Blizzard、Stormの読み解き

By Mirko Peters · 2026-10-24

Microsoftがサイバー脅威アクターを Typhoon、Blizzard、Storm のラベルでどのように命名しているかを解説します。攻撃者の動機や出自を簡単に理解できます。

Automatically translated with AI from the original post. Read the English original

Microsoftが、Typhoon（中国）、Blizzard（ロシア）、Storm（身元が未確認のグループ）といった要素を使って、サイバー脅威アクターをどのように分類し命名しているかを紹介します。こうした作戦上の名称を読み解くことで、深いサイバーセキュリティの知識がなくても、セキュリティチームが攻撃の発生源、動機、手法を素早く特定できるようになります。

重要なポイント

• Microsoftは、脅威アクターのファミリー名を、地理的な出自または主な作戦上の動機と関連付けています。
• Typhoonは中国由来または中国と連携するアクターを指し、Blizzardはロシアを指します。
• Sleetは北朝鮮、Sandstormはイランに対応し、Tempestは金銭目的の犯罪者を示します。
• 「Storm-0558」のような一時的なラベルは、帰属が完全に確定する前の活動中の脅威に使用されます。
• 脅威アクターの名称を理解することで、ITジェネラリストは衝撃的なセキュリティレポートを、実務に活かせる文脈のある情報へと読み替えられるようになります。

Microsoftの脅威アクター命名システムを読み解く

セキュリティチームが日々のインシデントレポートを開くと、専門用語やランダムに生成された識別コードの多さに圧倒されることがよくあります。世界的なセキュリティ環境の中でこれらの脅威をより理解しやすく、追跡しやすくするため、Microsoftは攻撃者グループの分類方法を刷新しました。難解な16進数の文字列に頼ったり、防御側に相反するベンダー名の暗記を強いたりする代わりに、Microsoftは脅威グループを天候に関連するファミリー名に対応付けています。

この命名規則は偶然によるものではありません。脅威アクターのプロファイルに含まれる一つひとつの単語には、意図的な文脈上の意味が込められており、攻撃の発信元と攻撃者の狙いを、アナリストがすぐに把握できるようになっています。ハイブリッド環境を管理するITadministratorの方も、サイバーセキュリティのニュースを理解しようとする意思決定者の方も、この分類体系を学ぶことで、混乱した情報を整理された実践的な知識に変えることができます。

ファミリー名が示す地理的な出自

Microsoftの命名システムの基礎は、脅威グループに割り当てられる主要なファミリー名にあります。これらの地理的なタグは、サイバー作戦の推定される出自または支援元を示します。

• Typhoon: 中国に帰属する、または中国を拠点とするグループです。政府機関、シンクタンク、重要インフラに対して長期的なスパイ活動を行うことが多いとされます。
• Blizzard: ロシア由来またはロシアと結び付いた攻撃者です。国家支援による情報収集や、注目度の高い地政学的な妨害活動と関連付けられることが多いとされます。
• Sandstorm: イランの国家的利益と結び付いた脅威アクターです。通常、地域の競合国、防衛関連企業、通信事業者を標的にします。
• Sleet: 北朝鮮と関連するグループです。暗号資産の窃取、金融機関への侵入、戦略的な情報収集に重点を置いています。

TyphoonやBlizzardといった接頭辞をインシデントに結び付けることで、セキュリティ担当者は、誰がデジタル上の扉を叩いているのかについて、大まかな地理的文脈を即座に把握できます。

作戦上の焦点から動機を特定する

地理的な区分にとどまらず、Microsoft の命名体系では、攻撃者を動かしている動機も明確に分類されています。二つ目の修飾語や特定のファミリー名は、攻撃者の主な目的を示しています。

• Tempest: ランサムウェア運用者や高度なフィッシング集団など、金銭目的のサイバー犯罪シンジケートにのみ使用されます。
• Flood: データの窃取ではなく、世論を操作することを目的とした影響力工作や、組織的な偽情報キャンペーンに特化して使用されます。
• Tsunami: 民間企業の攻撃者を追跡対象とします。サイバー兵器を開発、パッケージ化し、さまざまな支払い顧客に販売する商業企業が該当します。

この明確な区別により、組織は、国家が知的財産を密かに持ち出そうとしているのか、それとも身代金目的でワークステーションを封鎖しようとしている金銭目的のランサムウェア集団なのかを見分けることができます。

初期調査における「Storm」ラベルの役割

脅威インテリジェンスを調べるチームが最もよく混乱する点の一つが、Storm-0558 のような名称に出会うことです。Microsoft が、明らかに組織化され活動している悪意のある活動を検出したものの、正確な身元、国家の支援、または長期的なスポンサーシップが未確認の場合、一時的なプレースホルダーのラベルを割り当てます。

Storm に 4 桁の数字が続く場合、その活動は紛れもなく現実的で危険であるものの、帰属はまだ調査中であることを示しています。Microsoft のセキュリティリサーチャーが、コードの重複、共有インフラストラクチャ、特定の戦術・手法・手順 (TTP) など、確かな証拠を十分に集めると、そのグループは一時的な Storm ラベルから、正式で恒久的な気象ファミリー名へと移行します。

業界の別名との橋渡し

異なるサイバーセキュリティベンダーは、同じ脅威グループに対して、歴史的に全く異なる名称を使用してきたため、企業横断のインシデント対応時に大きな混乱を招いてきました。Microsoft は、社内の命名体系を業界の従来の呼称と積極的に対応付けています。例えば、Microsoft 社内で Forest Blizzard として知られるロシアのグループは、業界全体では Fancy Bear や APT28 として広く追跡されています。

この透明性のある相互参照により、アナリストは Microsoft の脅威ブリーフィング、競合のクラウドプロバイダー、オープンソースのインテリジェンスフィードのいずれを読んでいても、3 つのレポートがまったく同じ攻撃者について述べていることをすぐに認識できます。推測の余地がなくなり、大規模なセキュリティインシデント時のマルチベンダー間の連携も効率化されます。

まとめ

現代のサイバーセキュリティの脅威を理解するには、点滅するランプやエラーログに反応するだけでは不十分で、画面の向こう側で活動している人間の攻撃者を理解する必要があります。Typhoon、Blizzard、Storm といった体系的な命名規則を活用することで、Microsoft は組織がアラートの文脈を把握し、孤立した技術的な痕跡を、より広範な犯罪活動や国家レベルのキャンペーンと結び付けられるよう支援しています。

パッシブ DNS、侵害指標、そしてこれらの洞察を社内でどのように活用するかについてさらに詳しく知りたい方は、M365 FM Podcast の エピソード全体を聴いてください。現代の脅威インテリジェンス戦略を、専門用語に頼らずに解説しています。

よくある質問

Microsoft の脅威インテリジェンスにおける「Blizzard」とはどういう意味ですか?

Blizzard は、ロシア発または同国と連携する脅威アクターやサイバー作戦を識別するために Microsoft が使用するファミリー名です。主にスパイ活動や地政学的な情報収集を対象としています。

なぜ Microsoft は名称ではなく「Storm」ラベルを使用するのですか?

Storm ラベルは、新たに発見された活動中の脅威クラスターに対して一時的に割り当てられる識別子です。そのグループの背後にある身元や国家の支援が、セキュリティリサーチャーによってまだ調査中である場合に使用されます。

Tempest グループと Typhoon グループはどのように異なりますか?

Tempest グループは、恐喝、ランサムウェア、利益を重視する金銭目的の犯罪者です。一方、Typhoon グループは主に中国を拠点とし、国家の支援を受けた、または同国と連携する組織で、主にスパイ活動を行っています。

他のセキュリティベンダーも Microsoft の脅威アクター名を使用していますか?

他のベンダーは独自の命名規則（APT番号や動物の名前など）を使うことが多いですが、Microsoftは天気をもとにした名称を、APT28やFancy Bearといった業界で一般的な名称と対応づけており、ベンダーをまたいでも分かりやすくなるようにしています。