2025年の瀬戸際、欧州の安全保障は物理的な境界線だけでなく、デジタルの領域においても極めて危険な水準にあったことが明らかになった。ポーランド政府およびセキュリティ企業ESETの最新の報告によると、2025年12月末、ポーランドのエネルギーインフラを標的とした大規模なサイバー攻撃が実行されていた。
攻撃者は、ウクライナの電力網を過去にブラックアウトさせたことで知られるロシア軍参謀本部情報総局（GRU）傘下のハッカー集団「Sandworm」である可能性が高い。使用されたのは、データを完全に消去しシステムを破壊することを目的としたワイパー型マルウェア「DynoWiper」だ。
攻撃の解剖学：DynoWiperと破壊の意図
今回のインシデントにおいて最も注目すべき点は、攻撃者が金銭目的のランサムウェアではなく、純粋な破壊を目的とする「ワイパー（Wiper）」を選択した事実にある。
DynoWiper：Win32/KillFiles.NMOの正体
スロバキアのセキュリティ企業ESETの研究チームは、この攻撃で使用されたマルウェアを「DynoWiper」と命名した。技術的な検出名は「Win32/KillFiles.NMO」である。このマルウェアの挙動は極めて単純かつ冷酷だ。感染したコンピュータ上の重要なファイルやシステム領域を上書きまたは削除し、OSを起動不能にする。
ランサムウェアであれば、暗号化解除と引き換えに身代金を要求する余地がある。しかし、ワイパーの使用は「交渉の余地はない」という攻撃者からのメッセージだ。その目的は、電力供給システムの制御不能化、そしてそれに伴う物理的な停電と社会的混乱の誘発以外にあり得ない。
ターゲットの選定と影響範囲
ポーランド当局の発表によれば、攻撃対象には以下の重要インフラが含まれていた。
- 2箇所の熱電併給プラント
- 風力タービンや太陽光発電などの再生可能エネルギー源を管理するシステム
- 配電オペレーター
仮にこの攻撃が成功していた場合、厳冬期のポーランドにおいて約50万人の市民が暖房と電力を失う事態に陥っていたと推計されている。特に再生可能エネルギーの管理システムが狙われた点は興味深い。風力や太陽光は出力変動が激しく、高度な自動制御システム（SCADA等）に依存しているため、ここを突くことでグリッド全体の周波数バランスを崩壊させ、広域停電（ブラックアウト）を誘発しようとした戦術的意図が読み取れる。
Sandwormの影：10年の時を超えた「記念日」攻撃
ESETの研究者は、使用された戦術、技術、手順（TTPs）の分析に基づき、この攻撃を「中程度の確信（medium confidence）」を持ってSandwormによるものと帰属させている。ポーランドのDonald Tusk首相もまた、ロシアの関与を公言した。
ウクライナ攻撃との不気味な一致
この攻撃には、単なる破壊工作以上の象徴的な意味が込められている可能性が高い。攻撃が実行されたのは2025年12月29日から30日にかけてだが、これは歴史的なインシデントのちょうど10年後にあたる。
2015年12月、Sandwormはマルウェア「BlackEnergy」を用いてウクライナの電力網を攻撃し、世界で初めてサイバー攻撃による大規模停電を引き起こした。約23万人が数時間にわたって電力を失ったこの事件は、サイバー戦争の歴史における転換点となった。それから正確に10年後の同じ時期に、同じアクターが、ウクライナの隣国であり最大の支援国であるポーランドを狙ったことは、偶然の一致として片付けるにはあまりに作為的だ。
ロシアのハイブリッド戦争ドクトリン
SandwormはGRU（ロシア連邦軍参謀本部情報総局）の第74455部隊に関連付けられており、彼らの活動は軍事作戦の一部として機能する。2017年の「NotPetya」（世界的な被害を出したワイパー）、2022年のウクライナ侵攻時の衛星通信網「Viasat」への攻撃など、彼らの履歴書には破壊的な戦果が並ぶ。
今回の攻撃は、軍事侵攻を伴わない「グレーゾーン」における攻撃、すなわちハイブリッド戦争の一環である。物理的なミサイルではなく「デジタル戦車（Digital Tanks）」（ポーランドのKrzysztof Gawkowski副首相の表現）を用いることで、NATOの集団的自衛権（第5条）の発動を回避しつつ、相手国の継戦能力と国民の士気を削ぐ狙いがある。
なぜ攻撃は失敗したのか：防御の進化
幸いなことに、今回の攻撃は未遂に終わった。ポーランドのTusk首相は「重要なインフラへの脅威はなかった」と宣言し、ブラックアウトは発生しなかった。なぜ、かつてウクライナを麻痺させた攻撃集団が、今回は防がれたのか。
早期検知と官民連携
報道によると、ポーランドのサイバー防衛部隊およびインテリジェンス機関は、攻撃の初期段階で侵入を検知したとされる。詳細な防御手法はセキュリティ上の理由から明かされていないが、ESETのような民間セキュリティ企業との連携、そしてウクライナでの教訓を活かした監視体制の強化が功を奏したと考えられる。
2015年のウクライナ攻撃では、攻撃者は数ヶ月前からネットワーク内に潜伏し、偵察を行っていた。今回のポーランドの事例でも、侵入自体は成功していたものの、最終的な「起爆（ワイパーの実行によるシステム破壊）」に至る前に遮断されたか、あるいは冗長化されたバックアップシステムが機能した可能性がある。
レジリエンス（回復力）の向上
これは、西側諸国の重要インフラ防御が、過去10年で確実に成熟したことを示している。単にファイアウォールを設置するだけでなく、侵入されることを前提とした「ゼロトラスト」アーキテクチャの採用や、OT（制御技術）ネットワークのセグメンテーション（隔離）が進んでいることが、壊滅的な被害を防ぐ防波堤となった。
戦略的意味合い：物流ハブとしてのポーランド
ポーランドが標的となった理由は明白だ。ロシアによるウクライナ侵攻以降、ポーランドは西側諸国からウクライナへの軍事・人道支援物資の主要な兵站（ロジスティクス）ハブとして機能している。
ポーランドのインフラ、特にエネルギー網や輸送網を麻痺させることは、ウクライナへの補給線を断つことと同義である。今回の攻撃が成功していれば、ウクライナへの支援物資の流れが滞り、戦況に直接的な影響を与えていた可能性がある。ロシアにとってポーランドの電力網は、ウクライナ国内の発電所と同様に、戦略的な「軍事目標」と見なされていると解釈すべきだ。
戦争に発展させないために
今回の防御成功は称賛に値するが、これを「勝利」と呼ぶのは時期尚早である。攻撃側にとっても、これは一種の「実弾演習」であり、ポーランドの防御能力や対応速度に関する貴重なデータを収集した可能性があるからだ。
- 法整備の加速: トゥスク首相は、この事態を受けてサイバーセキュリティ関連法の改正を議会に求めた。外国からの干渉に対する法的枠組みの強化は、技術的な防御と同様に急務である。
- サプライチェーンの再点検: 再生可能エネルギーの管理システムが狙われた事実は、分散型エネルギーリソース（DER）のセキュリティが新たなアタックサーフェス（攻撃対象領域）になっていることを示唆する。風力発電所や太陽光パネルといった末端のIoTデバイスや制御システムのセキュリティ確保が、国家安全保障レベルの課題となる。
- 持続的な警戒: Sandwormは執拗だ。一度の失敗で撤退するような組織ではない。DynoWiperのコードは解析され、シグネチャは共有されるが、彼らはすぐに新しいツール（TTPs）を開発し、次の「記念日」や政治的な節目を狙ってくるだろう。
2025年の暮れに起きたこの「見えざる攻撃」は、第三次世界大戦がもし起こるとすれば、それは最初の銃弾が発射されるよりもはるか前に、静寂の中で電力網がダウンすることから始まるという現実を、改めて我々に突きつけている。
Sources
