議会に経済・予算分析を提供する超党派の連邦機関、米議会予算局（CBO）は、サイバーセキュリティ侵害の標的になったことを確認した。
このインシデントは、2025年11月6日に公表されたもので、政府ネットワークの脆弱性への懸念が高まっていることを浮き彫りにしている。とりわけ、継続中の連邦政府閉鎖によって、各省庁でのサイバーセキュリティ業務が制限され、重要な更新が遅れている。
CBO、侵害を確認
声明によると、Reutersに共有されたもので、CBOは「セキュリティインシデント」を確認し、侵害を封じ込めるため直ちに対応するとともに、システムを保護するため「追加の監視と新たなセキュリティ対策」を導入した。
同機関は侵害の性質を明らかにせず、攻撃者も特定しなかったが、議会向けの業務は中断なく続いていると述べた。
当局者は、攻撃者が予算調査や費用見積もりに関連する内部メール、チャットログ、部局間の通信にアクセスした可能性を懸念している。
CBOは、他の連邦機関や民間組織と同様に「継続的なネットワーク脅威」に直面しており、常時監視システムを稼働させていると強調した。
しかし今回の侵害は、近年、主要な立法支援機関が関与したサイバーセキュリティインシデントの中でも特に重大なものの1つであり、機密性の高い財政データや、立法案の費用分析の初期草稿が流出した可能性がある。
議会を狙うフィッシング攻撃
上院のサイバーセキュリティを管轄する上院守衛官室（SAA）は、複数の議会事務所にこのインシデントを通知した。
Reutersが確認した通知によると、当局者は、CBOと上院事務所の間のメールのやり取りがハッカーに流出した可能性があり、正規のCBOからの通信を装った標的型フィッシングキャンペーンのリスクが高まっていると警告した。
サイバーセキュリティの専門家は、このような情報流出によって、攻撃者が本物らしいやり取りを利用した説得力のあるスピアフィッシングメールを作成できるようになり、議会システムへのより深いアクセスを許す可能性があると警告した。
パッチ適用の遅れ
独立系セキュリティ研究者のKevin Beaumont氏は、侵害はCBOのネットワーク内にある旧式のCisco ASAファイアウォールから始まった可能性があると指摘した。
一連のBlueskyへの投稿で、Beaumont氏は、公開インターネットのスキャンで確認できる同機関のファイアウォールが2024年以降パッチを適用されておらず、政府関係者が支援する中国系ハッカーが利用した既知のCiscoの脆弱性に対して無防備だったと述べた。
Beaumont氏は、連邦政府の閉鎖が発効する直前の10月に、初めて懸念を示した。
当時、同氏はCBOのファイアウォールが複数の重要なパッチを適用し損ねていると指摘した。その後、ファイアウォールがオフラインになったことを確認したが、それが侵害後の封じ込め対応の一環として実施されたのかどうかは明らかになっていない。
Ciscoは報道について公にコメントしておらず、CBOもファイアウォールがインシデントに関与したかどうかについて回答を避けた。
しかし、政府閉鎖に伴うIT要員の不足と予算凍結のさなかに侵害が発生したことから、リソースの制約によって不可欠なセキュリティ更新が遅れたのではないかとの憶測が広がっている。
停止するサイバー防御
今回の侵害は、長期にわたる予算執行停止中に連邦機関が直面する、より広範なサイバーセキュリティリスクを浮き彫りにしている。
政府が閉鎖されると、数千人の民間サイバーセキュリティ職員が一時帰休となり、通常のパッチ適用や脅威の監視、システム保守が停止または遅延することが多い。
政府閉鎖の影響は現実のものだ。政府請負業者として働く知人によると、閉鎖開始からわずか数週間でネットワークセキュリティチーム全体が解雇され、重要システムが適切に保護されない状態に置かれたという。
今回のインシデントは、外国勢力による侵入の試みがより巧妙かつ執拗になる中、サイバーセキュリティへの備えが損なわれているのではないかという議員の懸念をさらに強めている。
サイバーレジリエンスの再構築
CBOへの攻撃を受け、連邦ITシステムのサイバーレジリエンスとリソース配分に改めて注目する必要がある。
提言には、政府閉鎖中の緊急サイバーセキュリティ予算の確保、可能な範囲での自動パッチ適用の導入、業務が中断している間も継続的な監視能力を拡充することなどが含まれる。
CBOは現在も連邦サイバーセキュリティ当局と連携し、インシデントの範囲を評価するとともに、システムの完全な健全性の回復に取り組んでいる。
データ窃取の直接的な証拠は公に確認されていないものの、今回の出来事は、政治的な対立によって防御が弱体化しているとき、とりわけ重要機関が高度なサイバー作戦の主要な標的であり続けることを強く印象づけている。