米司法省、イランのMabna Institute関係者17人を起訴　世界322大学などから31.5TBの研究データ窃取を主張

米司法省は2026年8月18日、イランのMabna Instituteに関係する17人を、大学、企業、政府機関などを狙った大規模なサイバー窃取キャンペーンに関与したとして起訴したと発表しました。

今回公開されたのは14件の罪状を含む追加起訴状で、2018年に起訴済みだった9人に加え、新たに8人が被告として追加されました。

米司法省によると、Mabna Instituteは少なくとも2013年から、米国の大学144校と海外の大学178校を含む多数の組織へ不正アクセスを行い、約8,000の大学教員メールアカウントを侵害しました。大学から窃取された学術データや知的財産は少なくとも約31.5TBに上るとされています。

一方、「34億ドルの知的財産を盗んだ」という表現には注意が必要です。米司法省が示している約34億ドルは、米国の大学が窃取対象となったデータや知的財産を取得・利用するために支出した金額であり、窃取された知的財産そのものを34億ドルと評価した数字ではありません。

起訴状の内容は検察側の主張であり、17人の有罪が確定したわけではありません。米司法省も、すべての被告は有罪判決を受けるまで無罪と推定されるとしています。

Mabna Institute追加起訴のサマリー

• 米司法省は2026年8月18日、Mabna Institute関係者17人に対する14件の罪状を含む追加起訴状を公開しました。
• 17人のうち9人は2018年に起訴済みで、今回新たに8人が追加されています。
• 米司法省は、Mabna Instituteが少なくとも2013年から大規模なサイバー窃取キャンペーンを行ったと主張しています。
• 標的となった大学は米国144校、海外178校の計322校です。
• 海外の被害国として、日本、英国、ドイツ、カナダ、韓国、イスラエルなどが挙げられています。日本の被害大学数や名称は公表されていません。
• 世界の大学教員10万アカウント超を標的にし、約8,000のメールアカウントを侵害したとされています。
• 大学から窃取された学術データや知的財産は少なくとも約31.5TBです。
• 約34億ドルは「盗まれた知財の評価額」ではなく、米国の大学が対象データや知的財産を取得・アクセスするために支出した金額です。
• 大学以外にも、米国企業少なくとも42社、海外企業少なくとも11社、米国の連邦・州政府機関少なくとも5機関、NGOなどが標的になったとされています。
• 米司法省は、大学を狙ったスピアフィッシング活動の一部がイラン革命防衛隊（IRGC）のために行われたと主張しています。
• 窃取した学術データや大学アカウントへのアクセスは、イラン国内のWebサイトを通じて販売されたとされています。
• 新たに追加された一部被告については、パスワードスプレー攻撃を含む企業・政府機関への侵入にも関与したとされています。
• 米国務省のRewards for Justiceは、5人の被告の所在につながる情報に最大1,000万ドルの報奨金を設定しています。
• 起訴は有罪判決ではなく、現時点では米政府による訴追上の主張です。

整理表

項目	内容
発表日	2026年8月18日
発表機関	米司法省
被告	イラン人17人
関連組織	Mabna Institute
起訴内容	14件の罪状を含む追加起訴
2018年からの追加	8人を新たに追加
攻撃開始時期	少なくとも2013年ごろ
大学への主要キャンペーン	少なくとも2017年12月まで継続
標的大学	米国144校、海外178校、計322校
標的アカウント	世界の大学教員10万アカウント超
侵害アカウント	約8,000
窃取データ	少なくとも約31.5TB
約34億ドルの意味	米大学が対象データ・知財の取得やアクセスに支出した金額
その他の標的	米企業42社以上、海外企業11社以上、米政府機関5機関以上、NGOなど
国家との関係	米司法省は大学向けスピアフィッシング活動をIRGCのために実施したと主張
報奨金	5人について所在情報に最大1,000万ドル
有罪確定	していません

2018年の9人起訴から8人を追加、計17人に

Mabna Instituteを巡る米司法省の捜査は、今回初めて明らかになったものではありません。

2018年3月、米司法省はMabna Instituteの創設者や関係者9人を起訴しました。当時の発表でも、米国144大学と海外176大学を狙った大規模なサイバー窃取キャンペーンが公表されています。

今回の追加起訴状では、新たに8人が追加され、被告は計17人となりました。

新たに加わったのは、Saeid Houshyar、Behzad Mesri、Manouchehr Hashemloo、Keyvan Fayaz、Amir Barati、Saber Shahbazi Ballojeh、Arman Kahzadian、Mojtaba Galekuhiの8人です。

米司法省によると、この追加起訴によって、Mabna Instituteが大学だけでなく、民間企業や政府機関を対象に行っていた活動の範囲も広く示されました。

一方、今回の起訴状は2018年当時の事件をすべて新規に発見したものではありません。9人はすでに8年前に起訴されており、今回のポイントは、捜査によってさらに8人の関与を特定し、Mabna Instituteのネットワークを追加で訴追したことです。

世界322大学を標的、日本の大学も対象国に

米司法省によると、Mabna Instituteは世界の大学教員10万アカウント超を標的とし、そのうち約8,000アカウントの侵害に成功したとされています。

被害大学は米国144校、海外178校の計322校です。

海外の対象国には、日本、オーストラリア、カナダ、中国、デンマーク、フィンランド、ドイツ、アイルランド、イスラエル、イタリア、マレーシア、オランダ、ノルウェー、ポーランド、サウジアラビア、シンガポール、韓国、スペイン、スウェーデン、スイス、トルコ、英国が含まれます。

日本についても被害大学が含まれていたことになりますが、米司法省は日本国内の大学名や被害校数を公表していません。

なお、BleepingComputerは「178 universities, 144 of which are in the U.S.」としていますが、米司法省の一次資料では「米国144校」と「海外178校」です。合計は322校となります。

約31.5TBの研究・学術データを窃取したと米司法省

Mabna Instituteの大学向けキャンペーンは、2013年ごろから少なくとも2017年12月まで続いたとされています。

攻撃者は侵害した大学教員のアカウントを使い、研究データ、学術誌、学位論文、博士論文、電子書籍などへ不正にアクセスしました。

対象分野は科学技術や工学だけではなく、社会科学、医学など幅広い研究領域に及びました。

米司法省は、被告らが大学から少なくとも約31.5TBの学術データと知的財産を窃取し、米国外にある管理下のサーバーへ送信したと主張しています。

2018年の起訴時点では31TB超とされていましたが、今回の追加起訴では約31.5TBとされています。

「34億ドル」は知的財産の評価額ではない

今回の報道で特に誤解しやすいのが約34億ドルという数字です。

BleepingComputerは「$3.4 billion intellectual property theft」と見出しを付け、本文でも窃取された研究・知財を約34億ドルと表現しています。

しかし、米司法省の発表は異なります。

司法省によると、米国の大学が、窃取対象となったデータや知的財産を「取得し、アクセスするため」に支出した金額が34億ドル超でした。

これは、窃取された知的財産の市場価値や、大学に発生した34億ドルの直接損害を意味する数字ではありません。

そのため、本件を「34億ドル相当の知財窃取」と断定するより、「大学が34億ドル超を投じて取得・アクセスしていた研究データなどを標的にした」と表現する方が、米司法省の説明に沿っています。

スピアフィッシングで大学教員の認証情報を窃取

大学を狙った活動では、スピアフィッシングが主要な侵入手法として使われたと米司法省は説明しています。

標的となった大学教員へ偽のリンクを送信し、認証情報を取得したうえで、教員のメールアカウントや大学のオンラインライブラリーへ不正アクセスする手法です。

窃取した認証情報はMabna Institute内部でも共有され、大学の学術データや文献へのアクセスに使われました。

米財務省が2018年に公表した制裁資料でも、複数のMabna Institute関係者がスピアフィッシングメールの作成、標的一覧の作成、窃取した認証情報の管理などに関与したとしています。

今回の事案は、研究機関で保護すべきものが未公開研究データだけではないことを示しています。

出版社や学術データベースへのアクセス権を持つ大学アカウントそのものが、攻撃者にとって価値を持つためです。

窃取した学術資料と侵害アカウントへのアクセスをイラン国内で販売

米司法省によると、窃取された情報は政府目的だけに利用されたわけではありません。

Mabna Institute関係者は、「Megapaper.ir」と「Gigapaper.ir」と呼ばれるWebサイトを通じて、窃取した学術情報を販売したとされています。

Megapaperでは、盗まれた学術資料をイラン国内の顧客へ販売していました。

Gigapaperではさらに、侵害した大学教員のアカウントを利用し、購入者が米国や海外の大学オンラインライブラリーへ直接アクセスできるサービスを提供していたと米司法省は主張しています。

つまり、攻撃者は取得した論文を一度販売するだけではなく、「侵害済みアカウントによるアクセス権」そのものも商品化していたことになります。

IRGCのための活動と米司法省が主張

国家関与については、表現を分ける必要があります。

米司法省は、Mabna Instituteがイラン政府機関と民間組織の双方からハッキング業務を請け負っていたとし、大学を狙ったスピアフィッシングキャンペーンについては、イラン革命防衛隊（IRGC）のために実施したと起訴状で主張しています。

また、窃取したデータや認証情報の一部はイラン政府の利益のために利用されたとしています。

2018年には米財務省外国資産管理局（OFAC）も、Mabna Instituteと当時の被告9人を悪意あるサイバー活動に関与したとして制裁対象に指定しました。

ただし、今回の17人に対する起訴内容は裁判で確定した事実ではありません。

「IRGCがMabna Instituteを使って窃取した」と事実として断定するのではなく、「米司法省はIRGCのために活動したと主張している」と区別する必要があります。

イランを含む国家とサイバーアクターの関係については、セキュリティ対策Labの「国家とハッカー/ランサムウェア グループの結託-ロシア・中国・イランによるサイバーグレーゾーン戦略と日本企業への示唆」でも、直接的な指揮から請負型の活動まで関与形態を分けて整理しています。

大学以外に企業・政府機関も侵害

Mabna Instituteの標的は大学だけではありませんでした。

今回の追加起訴によると、少なくとも米国企業42社、ドイツ、イタリア、スイス、スウェーデン、英国の海外企業少なくとも11社が侵害対象となりました。

米政府関係では少なくとも5つの連邦・州政府機関が対象とされ、米労働省、連邦エネルギー規制委員会（FERC）、ハワイ州、インディアナ州などが具体例として挙げられています。

さらに国連とUNICEFなどの政府・非政府組織も被害対象に含まれます。

攻撃者は従業員のメールアカウントにも侵入し、メールボックスを窃取しました。

2018年の司法省資料では、侵害したメールアカウントに転送ルールを設定し、その後届くメールを攻撃者側へ転送する手法も明らかにされています。

HBOへの侵入と600万ドル相当のBitcoin要求も追加起訴に記載

新たに追加された被告には、HBOへのサイバー攻撃に関与したとされるBehzad Mesriも含まれています。

Mesriは過去に別件で、HBOのシステムへ侵入し、未公開コンテンツなどの独自情報を窃取したうえで、約600万ドル相当のBitcoinを要求したとして起訴されています。

今回の追加起訴状では、Houshyar、Hashemloo、Fayaz、Ballojeh、KahzadianもMesriとともにHBOのシステムへの侵入に直接関与したと米司法省は主張しています。

この部分は大学の学術情報窃取とは別の活動であり、「31.5TBの大学データ窃取」と「HBOへの侵入・恐喝」を同一の被害として合算するものではありません。

一部の追加被告はパスワードスプレー攻撃にも関与

今回の追加起訴では、Mabna Instituteの活動がスピアフィッシングだけではなかったことも示されました。

米司法省によると、Galekuhi、Fayaz、Ballojehの3人は、民間企業と少なくとも2つの政府機関を標的にした活動へ参加し、パスワードスプレー攻撃、不正アクセス、データ持ち出しなどを行ったとされています。

この活動によって、被害組織には調査と復旧のため2,000万ドルを超える費用が発生したと司法省は主張しています。

大学向けの認証情報窃取から、企業や政府を狙うパスワードスプレーまで、同じネットワーク内で複数の侵入手法が利用されていたことになります。

5人の所在情報に最大1,000万ドルの報奨金

今回の追加起訴と同時に、米国務省のRewards for Justiceは、5人の被告について所在につながる情報に最大1,000万ドルの報奨金を設定しました。

対象はBehzad Mesri、Mojtaba Galekuhi、Arman Kahzadian、Keyvan Fayaz、Saber Shahbazi Ballojehの5人です。

米司法省によると、Rewards for Justiceは、外国政府の指示または支配の下でComputer Fraud and Abuse Actに違反する特定の悪意あるサイバー活動を行った人物に関する情報を求めています。

ただし、報奨金の設定も被告の有罪を意味するものではありません。

情報システム・研究機関への示唆

今回の起訴で重要なのは、大学や研究機関が「研究データ」だけでなく、「研究へアクセスする権限」そのものを狙われた点です。

学術データベースや電子ジャーナルへのアクセス権を持つ大学アカウントは、侵害されれば第三者が継続的に情報を取得できる入口になります。

研究機関では、メール、学術データベース、クラウドストレージ、VPNなどを一つの認証情報で利用できる場合、メールアカウントの侵害が他サービスへのアクセス拡大につながらないよう確認する必要があります。

特に、教職員や研究者を狙うスピアフィッシングでは、一般的な大量配信メールよりも、所属大学、研究分野、論文、共同研究者などの公開情報を使ってメールを作り込めます。

対策では、フィッシング教育だけでなく、フィッシング耐性のあるMFA、異常なサインインの検知、メール転送ルールの監視、学術データベースへの大量アクセス検知、侵害済みセッションの失効まで含める必要があります。

また、大学だけの問題として見るべきではありません。今回の起訴状には、民間企業、政府機関、国際機関も含まれています。

研究開発部門や知的財産を持つ企業では、研究者・技術者のメールアカウントを通常の一般社員アカウントと同じリスクで扱わず、アクセスできる情報の価値や対外的な研究活動まで踏まえて監視レベルを設計する必要があります。

今回、2018年の起訴から8年以上を経て新たな8人が追加されたことは、国家の利益に関係すると米当局がみるサイバー窃取について、長期間にわたり捜査と帰属作業が継続されることも示しています。

関連記事

国家とハッカー/ランサムウェア グループの結託-ロシア・中国・イランによるサイバーグレーゾーン戦略と日本企業への示唆

イランのIRGCやMOISを含め、国家が民間・非国家のサイバーアクターを利用する構造と、企業側が国家支援型攻撃をどう捉えるべきかを整理しています。

イランのスパイがシリコンバレーに潜入、Googleから企業秘密を窃取した事件も

サイバー侵入とは異なる手法も含め、イランによる技術・知的財産獲得を巡って米当局が訴追した事例を整理しています。

米司法省 大統領選に影響を及ぼすキャンペーン「ハッキング・アンド・リーク」に関与したイラン人3名を起訴

米司法省がイラン人3人を起訴した別の事案について、国家関与の主張とハッキング・アンド・リーク作戦の概要を解説しています。

出典

• 17 Iranians Charged with Conducting Massive Cyber Theft Campaign on Behalf of the Islamic Revolutionary Guard Corps and Other Iranian Entities – U.S. Department of Justice
• Superseding Indictment – U.S. Attorney’s Office, Southern District of New York
• Nine Iranians Charged With Conducting Massive Cyber Theft Campaign on Behalf of the Islamic Revolutionary Guard Corps – U.S. Department of Justice
• Treasury Sanctions Iranian Cyber Actors for Malicious Cyber-Enabled Activities Targeting Hundreds of Universities – U.S. Department of the Treasury
• US charges Iranian hackers over $3.4 billion intellectual property theft – BleepingComputer