Tor出口ノード333台が乗っ取りSSH傍受
原題: 333 Tor exit nodes hijacked to intercept SSH traffic and retrieve plaintext email
なぜ重要か
Torは匿名通信の基盤として世界中の活動家・記者に使われており、出口ノードの大規模乗っ取りはその信頼性を根幹から揺るがす事案として業界全体に波紋を広げる。
2026年10月2日から5日の3日間、未知の攻撃者がTorの出口ノード333台を乗っ取り、SSHトラフィックを12台の傍受サーバーへリダイレクトし、さらに暗号化メールポートをブロックして平文メールの取得を試みた。攻撃の起点は8月下旬、使い回しパスワードによるTor管理サーバーへの不正アクセスで、Linuxバックドア「Ebury」が仕込まれた。
今月初め、333台のTor出口ノードが乗っ取られ、SSHと電子メールの傍受工作に悪用されていたことが、Torボランティアの研究者「Kaba」の報告で明らかになった。
攻撃の経緯はこうだ。8月下旬、攻撃者は複数サービスで使い回されていた有効なパスワードを使い、Torの管理サーバーに侵入。12年前に発見されたLinux向けバックドア「Ebury」をインストールした。続いて管理サーバーから別のTorサーバー「Switzerland2」へSSH接続し、何らかの方法で管理者権限を取得——なぜそのRSAキーがauthorized keysに存在しなかったのかは未解明のままだ。Switzerland2にも同様にEburyが仕込まれ、そこが管理する出口ノードの設定が改ざんされた。
攻撃者が施した変更は2種類。一つはSSHポート22番のトラフィックを12台の攻撃者管理サーバーに横流しするリダイレクト。「ホスト鍵が変更された」という警告を無視したユーザーはSSHパスワードを攻撃者に渡す形になる。Kaba自身も同じ警告を受け取ったと記している。もう一つはポート25・465・587・993・995（暗号化メール用）のブロックで、平文メール受信ポートはそのまま開放。接続がダウングレードされれば平文メッセージを盗める仕掛けだ。ただし、実際にダウングレードが成功したかどうかは現時点で不明。
乗っ取りが行われたのは10月2日から5日の4日間。調査では333台すべての基盤サーバーへの侵入経路は特定できておらず、謎が残る部分も多い。Torプロジェクトのボランティアは当初、管理サーバーとSwitzerland2の侵害を部分的に公表していたが、今回の報告で感染ノード数やSSHリダイレクトの手口など多くの詳細が初めて明かされた。