イスラエル・イラン戦争とイラン系ハクティビストの情報作戦——Graphika「Everything Everywhere All at Once」Part 2

　ニューヨークを拠点にAI駆動のオープンソースインテリジェンス分析を専門とするGraphika（グラフィカ）が2026年2月に公開した「Everything Everywhere All at Once: The Pro-Iran Playbook for Narrative Control」第2部は、2025年6月のイスラエル・イラン戦争（6月13〜24日）におけるイラン系ハクティビストグループの動員構造と認知操作の手法を分析した報告書である。第1部がイラン国家・国家連携メディアと不正ソーシャルメディアアカウント網を扱ったのに対し、第2部は有機的ハクティビスト活動と国家支援グループの二層構造に焦点を当て、戦争中に出現した新グループ「Cyber Isnaad Front」のケーススタディを核心に据える。調査期間は6月13〜25日で、既存追跡対象のイラン国家支援ペルソナ群との継続的監視も分析基盤に含まれる。

関連: 2025年イスラエル・イラン戦争時の情報操作プレイブック：Graphikaによる58,000記事の計量分析

主要発見

　報告書は4点の主要発見を提示する。第一に、イラン系ハクティビストグループ・メディア・ソーシャルメディアは国家帰属の証明度合いにかかわらず一貫して類似のナラティブを流通させた。第二に、有機的な親イラン活動が観測されたハクティビストサイバー攻撃の大部分を占め、100超の親イラングループが親パレスチナ・親ロシア運動を母体として動員された。第三に、イラン国家支援ペルソナが再活性化または既存作戦のフレームを対イスラエル支援へ転換した。第四に、Graphikaが中程度の確信度でイラン運営フロントと評価する新グループ「Cyber Isnaad Front」が出現し、イスラエルをサイバー空間で無防備かつ技術的に劣る存在として描こうとした。なお実害の非対称性として報告書が明示するのは、親イラン側攻撃の大半が影響限定・未証明にとどまる一方、イスラエル政府との関連が疑われるGonjeshke Darandeによるイラン最大手暗号通貨取引所NóbitexおよびSepah Bankへの攻撃は実際に財務システムを破壊した点で圧倒的に重大だったということである。報告書は親イラン活動の分析において、APTを含む非公表型攻撃ではなく、グループが公に宣言した主張の内容に分析対象を限定している。

有機的ハクティビスト活動：二段波状の動員

　6月13日の最初のイスラエル空爆後、翌14日をピークとしてArabian Ghosts、Liwaa Mohammed、Unknowns Cyber Team、Golden Falcon、LulzSec Black、DieNetといった親パレスチナ系グループがイスラエルの銀行・メディア・政府機関へのDDoS攻撃と侵入主張を開始した。6月19日には第2波として、グループ群が鉄道システムや軍事機関など重要インフラとみなすイスラエルドメインに標的を移した。100超の親イラングループが参加したなかには、ロシア系のNoName057(16)やServerKillersも含まれており、親ロシア勢力の連動が確認された。一方でシリアの反バース党系グループはイランのメディアや政府サイトへのDDoS攻撃を実施しており、MENAハクティビスト陣営が全面的に親イランへ収れんしたわけではなかった。

既知イラン系国家支援グループの再活性化

　有機的活動と並行して、イラン国家支援ペルソナ群が再起動した。最活発だったのはHandala Hackである。CrowdstrikeおよびIran InternationalがMOIS（イラン情報省）運営の脅威アクター「Banished Kitten」に帰属させるこの親パレスチナ系グループは、数カ月の沈黙後に空爆から数時間で再活性化し、6月14日よりアルゼンチンのドローン製造業者を含むイスラエル軍関連企業へのハックアンドリーク主張を開始した。MicrosoftがMOISに帰属させるHomeland Justiceは1カ月の沈黙後に再活性化し、6月21日にMEK（イラン反体制組織）系イラン人2名のドクシングをアルバニア首都ティラナの市当局攻撃と同時発出した（MEK難民受け入れへの報復）。IRGCと関連するMoses Staffは8カ月の沈黙後にXへ復帰し、最高指導者ハメネイの投稿を増幅した。また米国がIRGCに帰属させたCyber Av3ngersのコピーキャット群も出現し、イスラエル防衛企業RafaelからとされるメールアドレスリストをプロモートするAPT IRANを増幅した。

ケーススタディ：Cyber Isnaad Front

出現と構造

　戦争中に新たに出現したCyber Isnaad Front（الجبهة الإسناد السيبرانية、サイバー支援戦線）は、Graphikaと業界パートナーが中程度の確信度でイランリンクと評価するハクティビスト・フロントである。Graphikaが同グループを初めて観測したのは、イラン国家通信社TasnimがXでプロモートを開始した6月19日——グループのTelegramチャンネル開設から2日後、初投稿から1日後——であった。アラビア語で発信し、パレスチナ支援を掲げてイスラエル軍・政府に接続する企業を攻撃するとするこのグループは、TelegramチャンネルのプロフィールをTorネットワーク経由のonionサービスにリンクし、削除済みデータ販売アカウント（@DataSellingAdmin）も管理していた。ロゴはAl-Qassam Brigades（ハマス軍事部門）動画で起源を持つ逆三角形（赤）を採用し、onionサイトでは「イスラエルの占領が完全に破壊される」まで活動を続ける傘組織として自己呈示した。

TTPs：データリーク・CCTV侵入・ドクシング

　Cyber Isnaadは出現直後から、イスラエル国防省と契約する衛星ネットワーク企業Gilatの内部システムとされるスクリーンショット、軍用部品製造業者CR Casting/EXACTの設計図・3Dモデル、監視カメラ映像などを証拠物件として公開した。あわせてIDF傘下のOgen Tel Hashomer医療センターの設計図をBensimon Aluminium Industriesへの侵入で取得したとも主張した。標的企業従業員への「Wanted Person（指名手配）」ポスターも発行し、onionサイトに専用「Most Wanted」セクションを設けた。データリーク主張・CCTV侵入・ドクシングの組み合わせはすべてイラン系ハクティビスト・フロントの典型的TTPsに合致し、これがGraphikaがCyber Isnaadをイラン系と評価する根拠の一つとなっている。

国家メディア増幅とMeltwaterによる計測

　Cyber Isnaad出現直後からTasnimとMehr通信社が攻撃主張を報道し、イラン影響工作「Attack Alarm」も繰り返し増幅した。GraphikaがMeltwaterで計測した6月1日〜11月16日の総メンションは4,930件（日次平均29件）で、スパイクは国家メディア報道のタイミングと直接相関した。ただし2025年7月に開設したXアカウントへのエンゲージメントは限定的にとどまり、国家メディア増幅が可視性を支えた構造的依存が明確だった。

イラン系ネクサスとの重複：Gaza Children HackersとCyberToufan

　Cyber IsnaadはGaza Children Hackersにも繰り返しプロモートされた。このグループはGraphikaが追跡するもので、TTPs（ハックアンドリーク、CCTV侵入、ドクシング、IRGC帰属ペルソナとの連携）から中程度の確信度でイラン国家支援と評価される。米国がIRGC関連アクター「Emmeret Pasargad（Cyber Group Aria Sepehr Ayandehsazan、ASA）」に帰属させたCyber Courtの隣接ネットワークに位置するグループで、2023年10月に初出現した。Gaza Children Hackersは6月23日に「Cyber Isnaadと関係している」と宣言し、以後攻撃を両グループ連名で帰属させた。2025年11月にはMicrosoftがイラン支援と評価するCyber Toufanが、Cyber IsnaadがOctoberに公開済みのRafael・Elbit関連文書を「自ら入手した」として再公開し、特にオーストラリアメディアで大きく報じられた。しかしCyberToufanが公開した画像にはCyber Isnaadのロゴが残っており、グループはトリミングして帰属表示と価格情報を削除していた。Cyber Isnaadは自グループへの帰属を省いたオーストラリア報道を拡散しながら「攻撃の責任者は自分たちだ」と繰り返した。Graphikaは両グループが直接接続しているかCyberToufanが機会主義的に盗用したかの断定には至っていない。

総括

　報告書が示すイラン系ハクティビスト地形の構造的特徴は、有機的な100超グループの動員が拡散の量的基盤を形成し、MOIS・IRGC支援ペルソナが戦略フレームを与え、Tasnim・Mehr・Attack Alarmなど国家メディアが増幅回路として機能するという三層連動にある。Cyber Isnaad Frontのケーススタディはとりわけ、出現直後の即時的な国家メディア増幅という手法が、ロシア帰属グループ（RaHDit/Nemezidaほか）でも観測されてきたパターンと構造的に一致することを示す。「独立系」を装いながら国家メディアに即座に認知される仕組みは、物理的な攻撃能力よりも「認知操作の外観形成」——イスラエルとその同盟国がサイバー空間でイランに劣るという印象の流布——を目的とするイランの定型手法として定着しつつある。