フィンランドのアールト大学の研究は、親ロシア派のハッカー集団NoName057(16)を、従来型の「ハクティビスト集団」だけでは捉えきれない存在として描いている。同集団は、不特定多数の参加者を動員する分散型サービス妨害（DDoS）攻撃に、プロパガンダ、思想的な勧誘、金銭的インセンティブを組み合わせている。研究はその活動を、ハクティビズム、地政学的なサイバー活動、サイバー犯罪の境界にまたがるモデルと位置づける。12

ここで重要なのは、ウェブサイトの短時間の停止が、それ自体で終わるとは限らない点だ。サービス障害を目に見える政治的事件に仕立て、組織を脆弱に見せ、不安を増幅し、生活に欠かせないサービスを担う機関への不信を促す。これが攻撃のより長期的な狙いだと考えられる。

目的はサービス停止よりも広い

NoName057(16)は、主にNATO加盟国や欧州諸国の公的・民間組織に対して、数千件のDDoS攻撃を仕掛けてきた。フィンランドも標的に含まれる。2

DDoS攻撃とは、大量のリクエストや通信をサービスに送りつけ、正規の利用者がアクセスできない状態にする攻撃だ。直接の影響は一時的なサービス停止にとどまる場合もある。しかし、アールト大学の分析によれば、障害は対立相手の正統性を損なうプロパガンダの舞台としても利用される。2

つまり、これはハイブリッドな脅威だ。技術的な攻撃が目に見える事件をつくり、その周囲で発信されるメッセージが政治的な物語へと変換する。必ずしも恒久的な技術破壊を狙うのではなく、不安、評判の毀損、政府や公共機関、重要サービスへの信頼低下を引き起こすことに価値が置かれている。12

TelegramとDDoSiaが支える参加型モデル

同集団の活動は、作業の多くをボランティアのネットワークに分散させることで成り立っている。参加者はTelegramを通じて勧誘され、ネットワークが選定・宣伝する標的への攻撃を調整するツール「DDoSia」へのアクセスを得る。23443

この仕組みによって、参加の技術的なハードルは下がる。高度な脆弱性を発見したり、複雑な攻撃コードを開発したりしなくても、ツールを通じて自分の端末の計算資源を提供し、集団が組み立てたキャンペーンに従うことができるためだ。参加型の仕組みでありながら、標的の選定、情報発信、成果に応じたインセンティブによって、全体の方向性は中央から形づくられている。234

その結果、政治的な出来事や、ロシアの対立相手への支持を軸に参加者を動員しながら、サイバー犯罪の請負サービスにも似た特徴を持つコミュニティが生まれる。アールト大学がこのモデルを、思想的なハクティビズム、地政学的なサイバー戦争、金銭目的のサイバー犯罪の境界を曖昧にするものと説明する理由はここにある。23

なぜ「愛国的なオンラインゲーム」と呼ぶのか

DDoSiaは単なる攻撃用ソフトとして提示されているわけではない。プロジェクトは参加を「愛国的なオンラインゲーム」と表現し、妨害行為を犯罪ではなく、国家主義的あるいは市民的な活動として受け止めるよう促している。338

ゲームのような構造は、共通のアイデンティティー、目に見える目標、競争意識を与えることで、参加者の勧誘や継続を後押しする。報道では、順位づけや実績に応じた報酬も指摘されている。ただし、具体的な仕組みや支払い条件については、報道や時期によって説明が異なる。3944

この組み合わせは、戦略上きわめて有効だ。思想が参加の動機を与え、ゲーム形式が行為を身近で社交的なものに見せ、金銭的な報酬が継続参加の追加理由になる。

暗号資産が加える「商業的な動機」

プロジェクトでは、攻撃に参加し、成功に貢献した人に暗号資産で報酬を提供してきた。過去の報道では、成功したDDoS活動に対して最大8万ロシアルーブル、当時の為替で約1,200ドルが支払われる可能性があるとされた。46

報酬制度は、政治的な信念を持つボランティアと、報酬を得るサイバー犯罪者という従来の区分を複雑にする。参加者は、親ロシア派のメッセージ、集団に属する体験、競争的な形式、報酬のいずれか、または複数に引きつけられる可能性がある。アールト大学の調査結果は、これらの動機が互いに排他的ではなく、同時に作用しうることを示している。2

利用可能な証拠から、すべての参加者が報酬を受け取っている、あるいはすべての攻撃が金銭目的で行われていると断定することはできない。より確実に言えるのは、暗号資産が思想的な訴求力に加えて、参加者を集め、活動を促す別の仕組みになっているということだ。

フィンランドに見る攻撃の規模

アールト大学によると、NoName057(16)は2025年1月7日以降、フィンランドの標的に対して23回の攻撃ラウンドを実施し、129の公的・民間組織に影響を与えた。標的には国会などの政府機関、自治体、銀行・金融機関、重要インフラのサービス提供者が含まれる。また、フィンランドが2023年にNATOへ加盟した後、攻撃が増加したと報告されている。1

欧州各地での直接的な影響は、オンラインサービスに一時的にアクセスできなくなることだ。しかし、より広い戦略的影響は、公的機関や金融組織、重要サービスの提供者がデジタル上の「玄関口」を確実に守れないという印象を生むことにある。システムが短時間で復旧しても、攻撃者にとってその印象自体が価値を持つ。

オペレーション・イーストウッドが変えたこと、証明していないこと

2025年7月14日から17日にかけて、欧州刑事警察機構（Europol）と欧州司法機構（Eurojust）は、NoName057(16)の関係者とインフラを対象とする国際捜査「オペレーション・イーストウッド」を調整した。チェコ、フランス、フィンランド、ドイツ、イタリア、リトアニア、ポーランド、スペイン、スウェーデン、スイス、オランダ、米国の当局が同時に行動した。17

この作戦では、世界各地にある100を超えるコンピューターシステムから成る攻撃インフラが妨害され、同集団の中央サーバー基盤の大部分が停止した。17関連報道では、インフラへの措置に加え、逮捕、家宅捜索、逮捕状の発行も行われたとされている。1723

これは大きな作戦上の打撃だったが、「妨害された」ことは「恒久的に消滅した」ことを意味しない。動員の仕組み、政治的メッセージ、プロパガンダの効果が止まったことを示す証拠は、現時点で確認されていない。特定のサーバーや管理者が排除されても、参加者を分散させた構造は適応する可能性がある。

組織が見直すべき対応

アールト大学の分析が示す対策は、通常のDDoS緩和策だけにとどまらない。組織は脅威モデリング、リスク評価、インシデント対応において、攻撃者の政治的な目的、運用モデル、参加を促す動機を考慮する必要がある。すべての事件を、単なる「可用性の問題」として扱うべきではない。2

技術的な備えと同時に、広報・危機コミュニケーションの計画も整えておく必要がある。

• 停止だけでなく、その後に広がる物語にも備える。 影響を受けうるサービス、機関、利用者層を洗い出し、事件を正確に説明する手順を準備する。
• セキュリティ部門と広報部門を連携させる。 セキュリティ担当者が事実関係と利用可能なサービスを確認し、広報担当者がうわさ、威圧、誤解を招く主張に対応できる体制をつくる。
• 透明性と信頼性を重視して発信する。 攻撃を過小評価したり隠したりすると、敵対的なプロパガンダが入り込む空白を生む。明確な更新情報は、一時的な障害を組織全体の崩壊であるかのように見せる動きを抑える助けになる。2
• 稼働率以外も回復状況として測る。 ウェブサイトの復旧は必要だが、社会的な信頼、評判への影響、事件に関する虚偽情報の拡散状況も評価する。

この研究が示す最も重要な点は、戦略面にある。DDoSiaは一般のインターネット利用者を組織的な影響工作の参加者へと変え、サイバー攻撃をゲームのように見せる。対抗するには、強靱なインフラだけでなく、攻撃をめぐって構築される物語にも対応する力が求められる。

フィンランドのアールト大学の研究は、親ロシア派のハッカー集団NoName057(16)を、従来型の「ハクティビスト集団」だけでは捉えきれない存在として描いている。同集団は、不特定多数の参加者を動員する分散型サービス妨害（DDoS）攻撃に、プロパガンダ、思想的な勧誘、金銭的インセンティブを組み合わせている。研究はその活動を、ハクティビズム、地政学的なサイバー活動、サイバー犯罪の境界にまたがるモデルと位置づける。12

ここで重要なのは、ウェブサイトの短時間の停止が、それ自体で終わるとは限らない点だ。サービス障害を目に見える政治的事件に仕立て、組織を脆弱に見せ、不安を増幅し、生活に欠かせないサービスを担う機関への不信を促す。これが攻撃のより長期的な狙いだと考えられる。

目的はサービス停止よりも広い

NoName057(16)は、主にNATO加盟国や欧州諸国の公的・民間組織に対して、数千件のDDoS攻撃を仕掛けてきた。フィンランドも標的に含まれる。2

DDoS攻撃とは、大量のリクエストや通信をサービスに送りつけ、正規の利用者がアクセスできない状態にする攻撃だ。直接の影響は一時的なサービス停止にとどまる場合もある。しかし、アールト大学の分析によれば、障害は対立相手の正統性を損なうプロパガンダの舞台としても利用される。2

つまり、これはハイブリッドな脅威だ。技術的な攻撃が目に見える事件をつくり、その周囲で発信されるメッセージが政治的な物語へと変換する。必ずしも恒久的な技術破壊を狙うのではなく、不安、評判の毀損、政府や公共機関、重要サービスへの信頼低下を引き起こすことに価値が置かれている。12

TelegramとDDoSiaが支える参加型モデル

同集団の活動は、作業の多くをボランティアのネットワークに分散させることで成り立っている。参加者はTelegramを通じて勧誘され、ネットワークが選定・宣伝する標的への攻撃を調整するツール「DDoSia」へのアクセスを得る。23443

この仕組みによって、参加の技術的なハードルは下がる。高度な脆弱性を発見したり、複雑な攻撃コードを開発したりしなくても、ツールを通じて自分の端末の計算資源を提供し、集団が組み立てたキャンペーンに従うことができるためだ。参加型の仕組みでありながら、標的の選定、情報発信、成果に応じたインセンティブによって、全体の方向性は中央から形づくられている。234

その結果、政治的な出来事や、ロシアの対立相手への支持を軸に参加者を動員しながら、サイバー犯罪の請負サービスにも似た特徴を持つコミュニティが生まれる。アールト大学がこのモデルを、思想的なハクティビズム、地政学的なサイバー戦争、金銭目的のサイバー犯罪の境界を曖昧にするものと説明する理由はここにある。23

なぜ「愛国的なオンラインゲーム」と呼ぶのか

DDoSiaは単なる攻撃用ソフトとして提示されているわけではない。プロジェクトは参加を「愛国的なオンラインゲーム」と表現し、妨害行為を犯罪ではなく、国家主義的あるいは市民的な活動として受け止めるよう促している。338

ゲームのような構造は、共通のアイデンティティー、目に見える目標、競争意識を与えることで、参加者の勧誘や継続を後押しする。報道では、順位づけや実績に応じた報酬も指摘されている。ただし、具体的な仕組みや支払い条件については、報道や時期によって説明が異なる。3944

この組み合わせは、戦略上きわめて有効だ。思想が参加の動機を与え、ゲーム形式が行為を身近で社交的なものに見せ、金銭的な報酬が継続参加の追加理由になる。

暗号資産が加える「商業的な動機」

プロジェクトでは、攻撃に参加し、成功に貢献した人に暗号資産で報酬を提供してきた。過去の報道では、成功したDDoS活動に対して最大8万ロシアルーブル、当時の為替で約1,200ドルが支払われる可能性があるとされた。46

報酬制度は、政治的な信念を持つボランティアと、報酬を得るサイバー犯罪者という従来の区分を複雑にする。参加者は、親ロシア派のメッセージ、集団に属する体験、競争的な形式、報酬のいずれか、または複数に引きつけられる可能性がある。アールト大学の調査結果は、これらの動機が互いに排他的ではなく、同時に作用しうることを示している。2

利用可能な証拠から、すべての参加者が報酬を受け取っている、あるいはすべての攻撃が金銭目的で行われていると断定することはできない。より確実に言えるのは、暗号資産が思想的な訴求力に加えて、参加者を集め、活動を促す別の仕組みになっているということだ。

フィンランドに見る攻撃の規模

アールト大学によると、NoName057(16)は2025年1月7日以降、フィンランドの標的に対して23回の攻撃ラウンドを実施し、129の公的・民間組織に影響を与えた。標的には国会などの政府機関、自治体、銀行・金融機関、重要インフラのサービス提供者が含まれる。また、フィンランドが2023年にNATOへ加盟した後、攻撃が増加したと報告されている。1

欧州各地での直接的な影響は、オンラインサービスに一時的にアクセスできなくなることだ。しかし、より広い戦略的影響は、公的機関や金融組織、重要サービスの提供者がデジタル上の「玄関口」を確実に守れないという印象を生むことにある。システムが短時間で復旧しても、攻撃者にとってその印象自体が価値を持つ。

オペレーション・イーストウッドが変えたこと、証明していないこと

2025年7月14日から17日にかけて、欧州刑事警察機構（Europol）と欧州司法機構（Eurojust）は、NoName057(16)の関係者とインフラを対象とする国際捜査「オペレーション・イーストウッド」を調整した。チェコ、フランス、フィンランド、ドイツ、イタリア、リトアニア、ポーランド、スペイン、スウェーデン、スイス、オランダ、米国の当局が同時に行動した。17

この作戦では、世界各地にある100を超えるコンピューターシステムから成る攻撃インフラが妨害され、同集団の中央サーバー基盤の大部分が停止した。17関連報道では、インフラへの措置に加え、逮捕、家宅捜索、逮捕状の発行も行われたとされている。1723

これは大きな作戦上の打撃だったが、「妨害された」ことは「恒久的に消滅した」ことを意味しない。動員の仕組み、政治的メッセージ、プロパガンダの効果が止まったことを示す証拠は、現時点で確認されていない。特定のサーバーや管理者が排除されても、参加者を分散させた構造は適応する可能性がある。

組織が見直すべき対応

アールト大学の分析が示す対策は、通常のDDoS緩和策だけにとどまらない。組織は脅威モデリング、リスク評価、インシデント対応において、攻撃者の政治的な目的、運用モデル、参加を促す動機を考慮する必要がある。すべての事件を、単なる「可用性の問題」として扱うべきではない。2

技術的な備えと同時に、広報・危機コミュニケーションの計画も整えておく必要がある。

• 停止だけでなく、その後に広がる物語にも備える。 影響を受けうるサービス、機関、利用者層を洗い出し、事件を正確に説明する手順を準備する。
• セキュリティ部門と広報部門を連携させる。 セキュリティ担当者が事実関係と利用可能なサービスを確認し、広報担当者がうわさ、威圧、誤解を招く主張に対応できる体制をつくる。
• 透明性と信頼性を重視して発信する。 攻撃を過小評価したり隠したりすると、敵対的なプロパガンダが入り込む空白を生む。明確な更新情報は、一時的な障害を組織全体の崩壊であるかのように見せる動きを抑える助けになる。2
• 稼働率以外も回復状況として測る。 ウェブサイトの復旧は必要だが、社会的な信頼、評判への影響、事件に関する虚偽情報の拡散状況も評価する。

この研究が示す最も重要な点は、戦略面にある。DDoSiaは一般のインターネット利用者を組織的な影響工作の参加者へと変え、サイバー攻撃をゲームのように見せる。対抗するには、強靱なインフラだけでなく、攻撃をめぐって構築される物語にも対応する力が求められる。