ウクライナとロシアの警報アプリ乗っ取り ── 一晩で両国の国民に届いた偽の核警報

2026年11月1日（日）の夜遅く、 ウクライナ各地のスマートフォンに、 外の様子とまるで合わない警報が届いた。 公式の警報アプリ「Повітряна тривога（Air Alert）」が、 放射線の危険、 化学攻撃、 キーウでの市街戦を告げ、 ロシア語の1通は、 オレシュニク（ミサイル）が飛んでくるので全土で核警報が出ると知らせた。 数時間後、 同じことが逆向きに起きた。 ロシア非常事態省（МЧС）のアプリが、 ロシアの全地域に核弾頭が発射されたと利用者に告げたのである。 11月2日（月）、 ゼレンスキー大統領は、 2つ目の乗っ取りは1つ目へのウクライナの応答だと述べた。

ウクライナで届いたもの

dev.ua によれば、 異常な通知が届き始めたのはキーウ時間（UTC+2）の22時48〜49分ごろで、 Reuters は午後11時直前としている。 警報は首都とその他の地域を対象に、 放射線の危険、 化学的脅威、 そしてキーウ市民に外へ出ないよう告げる市街戦の警報を出した。 決め手はロシア語の通知だった。 Reuters は、 ウクライナでは公的な連絡にウクライナ語が義務づけられていると指摘し、 空軍は Telegram で、 アプリはロシアにハッキングされたとみられると述べた。 ウクライナの戦略的コミュニケーションセンターも言語を根拠にロシアを非難したと Al Jazeera は伝えている。 AAP によれば、 偽の警報はロシア語とウクライナ語が混ざり、 一部は綴りや文法の誤りがある英語だった。

警報ごとに解除の通知が続いた。 ウクライナのデジタル変革省は、 アプリは一時停止したが、 ほかの警報手段と空襲サイレンは機能していると述べた。 Kyiv Independent は、 その夜、 西部のザカルパッチャを含む各地でサイレンが鳴ったと伝え、 地方の当局者は通知内のリンクがフィッシングの可能性があると警告した。 空軍報道官の Yurii Ihnat は 1+1 テレビに、 アプリは軍の指揮系統から切り離されており、 防衛の運用に影響はなかったと語った（AAP）。

侵入されたのはアプリではなく「オペレーター画面」

11月4日に dev.ua が伝えた説明で、 開発チームは利用者に謝罪し、 何が起きたかを明らかにした。 Air Alert は単なるスマホアプリではなく、 Ajax Systems と Stfalcon がデジタル変革省の支援を受けて無償で作ったソフトウェアの仕組み全体である。 オペレーター画面、 モバイルアプリ、 警報地図、 API などから成る。 民間防衛の担当者や各自治体の警報責任者が警報を入力し、 そのデータは API を通じて他のシステムにも渡る。 警報地図、 ショッピングセンターの館内放送、 街頭のサイレンもその一部である。

開発チームによれば、 日曜の夜に第三者がオペレーター画面に不正にアクセスし、 存在しない脅威の通知がシステムに入った。 外部の Telegram チャンネルへのリンクを含むロシア語の独自の文面もあった。 チームは関係機関・省庁とともにオペレーター画面とアプリのサーバー側を止め、 点検と根本原因の除去を経て、 2時間以内にオペレーター画面と主要機能（警報のプッシュ通知と危険度の表示）を戻した。 地図上の標的表示は別に復旧させた。 詳細は安全上の理由で明かさず、 端末に入ったアプリは個人データを保存も送信もしないとし、 データ流出や端末感染の情報を否定した。

犯行の主張はすぐに出た。 偽の投稿の1つは Hitcore という集団に触れており、 ロシアの Telegram チャンネル Mash は Hitcore の代表者が犯行を認めたと伝えたが、 AAP はこの主張を独自に確認できないとしている。

数時間後のロシア

Kommersant によれば、 11月2日（月）のモスクワ時間（UTC+3）午前3時ごろ、 МЧС アプリの利用者にプッシュ通知が届いた。 俗語まじりの粗い文面で、 ロシアの全地域に「P1-SUN」を運搬手段とする核弾頭が発射されたと述べ、 3週間分の食料を蓄えて地下室に隠れるよう告げていた。 The Moscow Times は、 P1-SUN はウクライナの迎撃ドローンの名前だと指摘している。 同じ文面は国策メッセンジャー Max の МЧС 地方支部のチャンネル（サンクトペテルブルク、 ベルゴロド、 スヴェルドロフスクなど）や、 ベルゴロド州作戦本部の Telegram チャンネルにも出た。

通知はほぼすぐに消され、 約30分後に同省は、 アプリが大規模なサイバー攻撃を受けて攻撃者が住民に偽の情報を送ったと発表した。 日中には、 偽の通知が33地域に届いたとした。 Expert によれば、 同省は最初の偽の通知が届いた時点で事態を把握し、 サービスをネットワークから切り離して隔離し、 攻撃者が使った脆弱性を特定してコンピュータ・インシデント国家調整センターにデータを渡したと述べた。 同省はアプリを補助的なサービスと位置づけ、 主要な警報手段 ── 地域・自治体のサイレンと拡声器、 SMS、 テレビとラジオ ── は影響を受けておらず、 受けることもありえないと説明した。

Kommersant によれば、 ペスコフ大統領報道官は、 大統領や各省庁のサイトは毎日何度もサイバー攻撃を受けており、 人工知能を含む技術の発達につれて脅威は増していると述べた。 キーウを拠点とするハッキング集団を名乗る DC8044 はロシア側の攻撃を主張し、 アプリの API から入ったと述べた（The Record）。 親ウクライナのハッキング集団 Atesh は、 月曜の未明にロシアで出た警報の画面写真を投稿した（Reuters）。

「われわれは応じただけだ」

Kyiv Post と AAP によれば、 11月2日（月）、 PBS NewsHour にロシアの非常事態アプリへのハッキングで応じたのかと問われたゼレンスキー大統領はそれを認めた。 大統領は Air Alert への攻撃を、 銀行や年金のシステムを含むロシアの一連のサイバー攻撃の1つだと位置づけ、 ウクライナはロシアの攻撃に応じているだけだと述べた。

最初の乗っ取りを誰が行ったかは、 両国政府の外では確かめられていない。 Reuters はどの集団の仕業かを検証できなかったとし、 この戦争での過去のサイバー事案は双方の活動家ハッカーとも情報機関とも結びつけられてきたと指摘している。

何が新しかったのか

Al Jazeera は、 ウクライナかロシアの公式の警報アプリがハッキングされたのはこれが初めてとみられると書いた。 ただし、 この地域で初めての偽の警報でも、 世界で初めて乗っ取られた警報アプリでもない。 The Record は、 2023年にロシアの民間ラジオ局数局が偽の空襲・ミサイル警報で乗っ取られたこと、 同じ年に Group-IB が、 ハクティビスト集団 AnonGhost によるイスラエルのロケット警報アプリ「Red Alert」の侵害を報告したことを振り返っている。

新しかったのは、 鏡写しの構図である。 一晩のうちに、 両国の民間向け警報アプリ ── 非常時に信じるよう教えられている経路 ── が混乱の発信源に変わり、 ウクライナの大統領は2つ目の攻撃を報復だと公然と認めた。 そのあと両国は同じ弁明をした。 アプリは経路の1つにすぎず、 サイレンや放送、 公式アカウントこそが正だ、 と。 アプリのデータが API を通じて地図や館内放送、 サイレンにも流れるウクライナでは、 弱点はスマートフォンではなくオペレーターの操作画面だった。 フランスのスーパー冷蔵設備攻撃と同じく、 データではなく、 信頼された制御の要が狙われた。