元L3Harrisエンジニアがゼロデイ脆弱性をロシアブローカーに売却、7年以上の実刑判決

元防衛契約企業エンジニアがゼロデイ不正取引で実刑判決

オーストラリア国籍の39歳の男性で、米国防契約企業L3Harrisの元エンジニアが、8件のゼロデイエクスプロイトをロシアのエクスプロイトブローカーOperation Zeroに売却した罪で、7年3か月の実刑判決を受けました。ピーター・ウィリアムズ（Peter Williams）は2025年10月に営業秘密の窃盗2件で有罪を認め、近年で最も深刻な内部関与型サイバーエスピオナージ事件の一つとなりました。

事件の概要と主要事実

• 誰が：ピーター・ウィリアムズ、オーストラリア国籍、L3Harris元従業員
• 何を：未公開のゼロデイ脆弱性8件をOperation Zeroに売却
• いつ：2026年2月に判決、2025年10月に有罪答弁
• どこ：米連邦裁判所（管轄地非公開）
• なぜ：金銭的利益、エクスプロイトの対価として数百万ドルを受領

この事件は、内部関与型サイバーエスピオナージの脅威が高まっていることを浮き彫りにしており、特に防衛や重要インフラ分野でのリスクが顕著です。関与したゼロデイの詳細は機密扱いですが、外国の敵対勢力への売却は米国の国家安全保障や同盟国のサイバー防衛に重大なリスクをもたらします。

技術的および運用上の影響

米国司法省（DoJ）は影響を受けたシステムや脆弱性の詳細は公表していませんが、この事件はサイバーセキュリティ専門家にとっていくつかの重要な懸念を提起しています。

1. ゼロデイ拡散のリスク

   • 8件のゼロデイがロシアのブローカーに売却されたことは、国家支援型サイバー作戦での悪用可能性を示唆しており、スパイ活動、サボタージュ、ランサムウェア攻撃などが懸念されます。
   • Operation Zeroは、過去にロシアのAPTグループやサイバー犯罪シンジケートに高影響度の脆弱性を販売した実績があります。

2. 内部脅威対策の不備

   • ウィリアムズが機密エクスプロイトコードを持ち出し、金銭化できたことは、L3Harrisのアクセス制御、監視、内部脅威プログラムに疑問を投げかけています。
   • 防衛契約企業は、機密および独自のサイバー能力へのアクセスを持つため、外国情報機関の標的となりやすい状況です。

3. サプライチェーンおよびサードパーティリスク

   • この事件は、高セキュリティ環境における従業員、契約業者、サプライチェーンパートナーの厳格な審査の必要性を再認識させるものです。
   • Operation Zeroのようなエクスプロイトブローカーは仲介者として機能し、脆弱性を国家主体を含む最高入札者に売却することが多いです。

影響分析

この事件の影響は、ウィリアムズの法的責任を超えて広範囲に及びます。

• 国家安全保障：ゼロデイは、米政府システム、軍事ネットワーク、重要インフラ（エネルギー、通信、防衛など）に対して武器化される可能性がありました。
• 企業の評判：L3Harrisは、サイバーセキュリティ態勢や内部脅威検知能力に対する精査に直面しており、契約やパートナーシップに影響を及ぼす可能性があります。
• グローバルエクスプロイト市場：この事件は、ゼロデイ販売やエクスプロイト仲介に対する規制強化を促す可能性がありますが、この取引の秘密性ゆえに執行は困難です。

セキュリティチーム向け推奨対策

同様のリスクを軽減するために、防衛、航空宇宙、重要インフラなどの組織は以下の対策を検討すべきです。

1. 内部脅威プログラムの強化

   • 行動分析や異常検知を導入し、不審なアクセスパターンやデータ持ち出しの試みを特定します。
   • 特権アカウントの定期監査を実施し、最小権限アクセスポリシーを徹底します。

2. ゼロデイ管理の強化

   • 社内で発見された脆弱性のインベントリを維持し、必要最小限のアクセス制御を徹底します。
   • データ損失防止（DLP）ツールを導入し、機密コードやドキュメントの不正な転送を監視・ブロックします。

3. サードパーティリスク管理の改善

   • 契約業者、ベンダー、サプライチェーンパートナーの外国敵対勢力やエクスプロイトブローカーとの関係を精査します。
   • サイバーセキュリティ条項を契約に盛り込み、米国の輸出管理法（ITAR、EARなど）の遵守を義務付けます。

4. 法執行機関との連携

   • 不審な活動をCISA、FBI、または関連機関に報告し、エクスプロイトブローカーやサイバー犯罪ネットワークの追跡を支援します。
   • 情報共有イニシアティブ（ISAC、InfraGardなど）に参加し、新たな脅威に先手を打ちます。

法的および規制の文脈

ウィリアムズの起訴は、経済スパイ活動防止法（18 U.S.C. § 1831）に基づいており、外国の利益のために営業秘密を窃取する行為を犯罪としています。この事件は、米国のサイバーエスピオナージ対策の一環として位置付けられ、以下の取り組みと連携しています。

• DoJの国家安全保障サイバーセクション：国家支援型サイバー脅威を調査。
• 大統領令14028：連邦契約業者および重要インフラのサイバーセキュリティ強化を義務付け。

本稿執筆時点で、L3Harrisはこの事件や是正措置について公式コメントを発表していません。同社は**米国防総省（DoD）**などの連邦機関にとって重要なサプライヤーであり、防衛産業基盤における警戒の強化が求められています。

---

詳細については、The Hacker Newsの元記事を参照してください。