事案 A、B、C で見る TAEF

事案 A の対応が終わった後、誰がやったかを答えるために、同じバックドアを使う活動がほかにないかも含めて、次の範囲を書き留めました。問いは TAEF が決めているので、書くのは帰属する攻撃と範囲だけです。

分析の範囲

帰属する攻撃

事案 A。国内のシンクタンク A への、講演依頼を装うメールから始まった侵入（2025 年 11 月）で、自組織で対応した

比べる相手

探した範囲で見つかった事案 B と事案 C。ワーキングとコーパスの活動モデルと主体モデルには、同じ書式やハッシュを持つものはなかった

情報源を探した範囲

比べる相手は、事案 A のバックドアの C2 通信の書式とハッシュで、2026 年 1 月から 3 月に公開されたベンダーのレポートと記事を探した。自組織が購読しているレポートと、公開の検索を使った。見つけたレポートが示した検体のハッシュで、検体共有サービスも検索した。ワーキングとコーパス（第 12 版）の活動モデルと主体モデルも、同じ書式とハッシュで探した。特定の材料は、各国の政府機関が 2026 年 3 月までに出した公表（公式見解）を、事案 A から C のハッシュ、ドメイン、手口で探した。名義を確かめる記録は、照会する手段がないので探せない（前提と制約）

使った資料

ベンダー X のレポートと、検体共有サービスから入手したバックドア 1 件（事案 B）。ベンダー Y のレポートと、ベンダー Z の検体解析（事案 C）

使わなかった資料

ベンダー W の記事。事案 B についてベンダー X のレポートを引用しているだけで、新しい観測がないため（転載）

前提と制約

事案 B は、ベンダー X が示した 3 件の検体のうち、バックドアの 1 件だけを入手できた。添付文書と窃取に使ったツール、B のログは入手できない。事案 C の検体とログは入手できない。事業者の契約記録などで名義を確かめる手段はない

探した範囲で見つかった活動は、すべて比べる相手にしています。ベンダー W の記事は事案 B の転載なので、別の相手にはせず、使わなかった資料として理由とともに残しました。ベンダー W が独自の観測を加えた続報を出したときに、範囲を見直す手がかりになります。入手できなかった検体も前提と制約に書いておくと、後で見つかったときに、どの比較をやり直せばよいかが分かります。公式見解を探した範囲も書いておくと、指示主体の「材料なし」が、探して見つからなかったためだと分かります。

事案 B と事案 C が見つからなかったとしたら、比べる相手は「なし」と書きます。手順 03 と 04 は飛ばし、手順 02 で測った特定だけが答えになります。関連は、答えられなかったことに「材料なし」と書き、探した範囲を添えます。見つからなかったことを、既知のどの主体とも別だという答えにはしません。相手が、探した範囲の外にいることや、まだ報告されていないことがあるためです。

事案 A から 8 件、事案 B から 9 件、事案 C から 8 件のエビデンス記録を作りました。事案 A では、バックドアの検体から取った観測を DG-A-1、イベントログから取った観測を DG-A-2、ドメインの登録情報の調査を DG-A-3 にまとめています。事案 B では、ベンダー X のレポートを DG-B-1 にしました。レポートが示した 3 件の検体のハッシュで検体共有サービスを検索し、バックドアの wmisvc.dll だけが見つかりました。その解析は、ベンダー X が解析したのと同じ検体から取った観測なので、同じ DG-B-1 に入れています。設定から取り出した C2 ドメインの登録情報の調査は、登録事業者の記録から得た観測なので、DG-B-2 にしました。添付文書と、窃取に使ったツールは見つかりませんでした。事案 C も、ベンダー Y の侵害調査とベンダー Z の検体解析を、同じ DG-C-1 にまとめました。Z の解析は Y の調査を写したものではありませんが、同じ検体を解析したものです。同じ検体を別々に解析しても、検体の取り違えや植え付けられた痕跡は、どちらの解析にも同じように及ぶので、独立した収集元としては一つと数えます。収集元の欄には、それぞれの調査元と調査を書き留めています。

このうち 5 件は、主体を特定する効き方も持ちます。素性を推せたので、推した素性を書きました。読んだ値は観測と分け、読みの前提にした仮定と、誰の素性かを添えています。RDP の接続元のキーボードレイアウトは、接続した端末の設定なので、運用の素性としました。名義を示す記録はなく、示した身元を書いた記録はありません。ドメインの登録者情報は、プライバシー保護で隠れていました。特定の段階は、関連の重みと同じ三つの材料で決めました。出発点には、重みと同じく TAEC の型の説明とアンチアトリビューションを使っています。LNG-003 には設定を変えられること、VIC-004 には検索語が侵害先にあるデータにも左右されることが書かれています。キーボードレイアウトは設定で偽れ、踏み台の端末の設定でもありえ、本人もいつでも変えられるので weak、検索語や持ち出した文書の主題は植え付けにくく、他者と共有もされにくいものの、求める情報は依頼ごとに変わりうるので medium にしています。

事案 B と事案 C の記録には、ベンダーが書いた値をそのまま写し、「事案 A と同じ」のような比べた結果は書いていません。比べるのは手順 03 です。

どの記録にも、届く帰属対象ごとに、一致したときと食い違ったときの重みを、その記録の中身から付けました。たとえば EV-A-06 は、次のように決めました。

EV-A-06 の重みの決め方

届く帰属対象

TAEC の INF-003 には same-infrastructure と same-operator が付いている。観測事例を見ると、登録事業者と登録の時期は same-infrastructure にだけ届き、same-operator に届くのは登録者の名義の事例である。この記録では登録者がプライバシー保護で隠れているので、same-infrastructure だけに付けた

出発点

INF-003 は変更コストが low。アンチアトリビューションには、特定の登録事業者には多数の利用者が集まること、登録の手順はマルウェアを変えずにいつでも変えられることが書かれている。そこで、一致は medium、食い違いは not_used を出発点にした

記録の中身

レジストラ R で登録し、3 日以内に使い始めた。登録事業者だけでなく、使い始めるまでの日数まで揃う組み合わせなので、出発点のままにした

インフラ

same-infrastructure は一致 medium、食い違い not_used。この一致だけで、インフラを同じ者が用意したと読んでよい。ただし貸し出す業者も同じ手順で登録するので、strong にはしない。登録の手順はいつでも変えられ、違っても別の者とは言えない

示した身元

なし。登録者の情報がプライバシー保護で隠れていて、名義が見えない。この記録は、身元の特定には効かない

同じ型でも、中身が違えば重みは変わります。EV-A-04 と EV-B-02 は、埋め込み設定の接続先の一致ですが、接続確認の宛先はどのマルウェアでも同じ検索サイトになりやすいので、same-tool-lineage の一致したときの重みを、COD-007 の出発点の medium から weak に下げました。PDB パスの EV-A-02 と EV-B-07 は、固有のプロジェクト名が残っているので、medium にしています。

型に付いた帰属対象でも、記録の中身から届かないものは外します。C2 通信の書式（C2P-004）はサーバーを誰が管理するかを示さないので same-infrastructure から、コマンドの実行（OPS-001）は攻撃者が作ったスクリプトではないので same-tool-lineage から外しました。ファイル全体のハッシュ（FIL-001）は同じファイルかどうかだけを示すので、same-artifact にだけ届き、重みは付けていません。型に付いていない帰属対象は足しません。ただし、推した素性を持つ記録には、誰の素性かに応じて、比べたときに入る帰属対象にも重みを付けます。関心を推した VIC-004 の記録には same-objective に、運用者の言語を推した LNG-003 の記録には same-operator に、型の帰属対象は空ですが重みを付けました。

ベンダー X が報告した C2 通信の書式は、入手した検体でも確かめました。このとき X の記録（EV-B-01）は reported のまま残し、自分の観測を新しい記録（EV-B-08）にしています。X は PDB パスを報告していませんでしたが、検体から取れたので EV-B-07 にしました。

このうち EV-A-05 に書き留めた内容をすべて示すと、次のとおりです。

エビデンス型

OPS-001

観測

侵入の翌日に whoami /all、net group "domain admins" /domain を順に実行し、窃取したファイルを rar.exe a -hp -m5 -v100m で分割、暗号化した

記述の種類

observed。自組織で取得したイベントログで確かめた

中身

value。実行されたコマンドと引数そのもの

有効期間

2025 年 11 月 19 日から 20 日（精度は日）

収集元

調査元は自組織、調査は A のインシデント対応（イベントログ）

依存グループ

DG-A-2（A のイベントログから取った観測）

重み

same-tradecraft は一致 medium、食い違い weak。理由：個々のコマンドはありふれているが、順序と rar の引数まで揃う手順で、偶然には揃いにくい。ただし手順書や公開レポートから真似できる。手順は環境で変わるので、食い違いは弱く数える。TAEC の OPS-001 には same-tool-lineage も付いているが、標準のコマンドと公開のアーカイバの実行で、攻撃者が作ったスクリプトではないので届かない

入手した検体から作った記録の例として、EV-B-07 も示します。検体をどこからどうやって入手したかを、収集元に書き留めています。

EV-B-07

エビデンス型

COD-005

観測

wmisvc.dll の PDB パスが E:\dev\snowfox\x64\Release\core.pdb

記述の種類

observed。入手した検体を自分で解析して確かめた

中身

value。検体に残っていたパスの文字列そのもの

有効期間

2026 年 2 月 9 日から 20 日（ベンダー X が報じた事案 B の期間。精度は日）

収集元

調査元は自組織、調査は事案 B の検体の解析。検体は、ベンダー X が示した SHA-256 で検体共有サービスを検索して入手した

依存グループ

DG-B-1（ベンダー X のレポートと、同じ検体 wmisvc.dll から自分で取った観測）

重み

same-tool-lineage と same-developer は、どちらも一致 medium、食い違い not_used。理由：固有のプロジェクト名 snowfox とフォルダーの構成が残り、同じビルド環境を示しうる。ユーザー名は残っていない。文字列なので書き換えも植え付けもでき、違っていても別とは言えない

ベンダー X は、事案 B を自社が追跡する攻撃グループによるものとしています。これはエビデンス記録にせず、第三者の判断として次のように書き留めました。

TP-2026-0003

発行元と時期

ベンダー X、2026 年 3 月（事案 B のレポート）

種類

関連

何を判断したか

事案 B は、ベンダー X が追跡する攻撃グループ（ベンダー X の呼び名はグループ X-17）による（L3）

確信度の表現

「高い確信度で」

示した根拠

過去の活動とのインフラの重なり、とだけ書かれている。重なったインフラは示されていない

根拠を確かめたか

確かめていない。確かめられる形で書かれていないので、エビデンス記録にはしなかった

事案 A は自組織で調べた一回の侵入なので、そのまま種にしました。事案 B と事案 C は公開レポートなので、範囲をまとめたのはベンダーだと書き留めています。事案 B の入手した検体と、事案 C のベンダー Z の記事も、それぞれベンダー X とベンダー Y が報告した検体と同じファイルなので、同じファイルでつながる観測として一つの種にまとめました。ベンダーが付けた攻撃グループの名前は使わず、中立な ID にしました。

表に出していない欄のうち、外部の呼び名には、UTA-2026-0007 にベンダー X の呼び名「グループ X-17」を、発行元と時期、ベンダー X が指している範囲とともに書き留めました。属する主体モデルと関連は、この時点では空です。特定も、素性の読んだ値と、その段階と数のほかは空です。手順 03 と 04 の後に書き足します（TAEF の出力）。

A と B、A と C の二つの組を比べました。図の各行は比べたエビデンス記録の組で、最下段が帰属対象ごとに数える結果です。

A と B

依存グループごとに、一つの帰属対象の中では最も重い一致を一つだけ数えます。DG-B-1 では、same-tool-lineage の medium の一致が、ベンダー X の報告（EV-B-01）と、入手した検体の解析（EV-B-07、EV-B-08）にありますが、同じ検体から取った観測なので一つだけ数え、EV-B-02 の weak も数えません。DG-A-1 では、same-tool-lineage の一致が C2 通信の書式と PDB パスの二つあり、どちらも medium なので一つだけ数えます。same-developer は PDB パスの medium を数え、C2 通信の書式の weak は数えません。

検体を入手する前は、PDB パスは B 側で調べておらず no_data（not_examined）で、same-developer は C2 通信の書式の weak だけでした。入手した検体で比べられるようになり、medium の一致になりました。一方、運用者の言語（EV-A-08）は、B のログ（RDP の接続の記録）を入手していないので、no_data のままです。ドメインの登録の記録は same-operator に届かないので、same-operator は材料なしです。

A と C

A と C は、同じバックドアを使っている点は A と B と同じです。違うのは、手順と標的が食い違うことです。ドメインの登録の食い違いは、INF-003 の変更コストが low で、食い違ったときの重みが not_used なので数えません。

運用者の言語（EV-A-08 と EV-C-05）と関心（EV-A-07 と EV-C-06）は、推した素性の読んだ値どうしで比べています。素性は型をまたいで比べられますが、この例では、どちらの組も同じ型の記録どうしになりました。言語の一致は、同じ言語の主体が多いので weak までです。食い違いも、キーボードレイアウトは本人がいつでも変えられ、同じ運用者でも端末ごとに値が変わるので数えず（not_used）、same-operator は材料なしになります。ロシア語と英語（米国）は、それぞれのモデルの特定に、別の値として残ります。

事案 A と事案 B の自分で確かめた記録は、どちらも調査元が自組織ですが、調査は別々（A のインシデント対応と、B の検体の解析や登録情報の調査）なので、共有している収集元には当たりません。三つの事案に共通の収集元はないので、規則 2 で除く観測はありません。

帰属対象ごとの結果に、重みの段階ごとの独立した収集元の数を添えると、次のようになります。数は、その段階の結果を支える記録の収集元を、二つのモデルの側ごとに数えた少ないほうです。事案 A の側は、どの記録も自組織の一回の侵害調査から得たので、数を添える一致と食い違いは、どれも 1 になります。材料なしには数を添えません。B の側の C2 通信の書式は、ベンダー X の報告と、入手した検体の解析の両方が支えますが、同じ検体から取った観測なので一つと数えます。C の側も、ベンダー Y と Z が同じ検体を解析したので一つです。両側を別々の調査が報告していても、それだけでは 2 になりません。段階の違う一致や食い違いがあれば、段階ごとに数を書きます。この例では、どの帰属対象も、数える結果は一つの段階だけでした。

補足：名義の一致

事案 A、B、C には、名義を確かめられる観測がありませんでした。事案 A と事案 B のドメインの登録者情報はプライバシー保護で隠れており、ベンダー X と Y のレポートにも名義の記述はありません。名義の一致の扱いを、架空の別の二つの場面で示します。

A と B は、same-tradecraft と same-infrastructure が一致と読め、same-objective も一致していて矛盾しないので、表の same-campaign の行に当たります。same-tool-lineage と same-developer も一致し、same-operator は材料なしなので、tool-continuity と shared-developer の行にも当たります。当てはまる型は、すべて書き留めます。同じ開発元のバックドアを、複数のグループが使っている可能性が残るということです。same-operator は一致ではないので、same-actor には当たりません。

A と B

関連の型

same-campaign、tool-continuity、shared-developer

理由

same-tradecraft、same-infrastructure、same-objective、same-tool-lineage、same-developer は一致（medium）。same-operator は、B 側で運用者を調べておらず材料なし。same-infrastructure と same-tradecraft の一致から same-campaign に、same-tool-lineage と same-developer の一致と same-operator の材料なしから tool-continuity と shared-developer に当たる。same-operator が一致でないので、same-actor には当たらない。

偽装の印

なし。一致は手順と登録の手順にも及び、C2 通信の書式だけには頼っていない

A と C は、same-tool-lineage が一致、same-tradecraft が食い違い、same-operator が材料なしと読めるので、shared-tooling に当たります。same-operator が材料なしなので、tool-continuity にも当たります。同じツールを共有しているだけか、同じ開発が続いているのかは、この比較からは分けられません。一致は偽装の手間の低い C2 通信の書式だけなので、規則 5 の偽装の印も付けました。

A と C

関連の型

shared-tooling、tool-continuity

理由

same-tool-lineage は一致（medium）。same-tradecraft と same-objective は食い違い（weak）。same-infrastructure と same-operator は、食い違いが not_used で数える結果がなく、材料なし。same-tool-lineage の一致と same-tradecraft の食い違いから shared-tooling に、same-tool-lineage の一致と same-operator の材料なしから tool-continuity に当たる。

偽装の印

あり。一致は C2 通信の書式だけで、記録の重みの理由に書いたとおり、設定で真似できる（偽装の手間が低い）

A と B は same-campaign と読めたので、二つの活動モデルを merge しました。統合は操作ごとに一件書き留め、活動モデルの履歴に残します。A と C は same-campaign と読めないので、統合しません。

DS-2026-0012

操作

merge

対象

UTA-2025-0031（事案 A）と UTA-2026-0007（事案 B）

根拠にした比較

事案 A と事案 B の比較。関連の型は same-campaign（same-infrastructure、same-tradecraft、same-objective が一致 medium・1）

理由

インフラの用意の仕方と侵入後の手順がどちらも medium で一致し、関心も食い違わないので、同じキャンペーンと読める。運用者が同じかは材料なしなので、主体モデルには束ねない。統合したモデルは UTA-2025-0031 の ID を引き継ぐ

統合した後の UTA-2025-0031 は、期間が 2025 年 11 月 18 日から 2026 年 2 月 20 日に広がり、17 件のエビデンス記録を含みます。統合した記録で UTA-2026-0003 と比べ直すと、UTA-2025-0031 の側の収集元は、自組織の侵害調査と、ベンダー X の報告の二つになります。入手した検体の解析は、X が解析したのと同じ検体なので、X の報告と一つに数えます。UTA-2026-0003 の側は、ベンダー Y と Z が同じ検体を解析したので一つです。そのため、C2 通信の書式の一致は medium・1 のままで、関連の型も shared-tooling と tool-continuity のままでした。UTA-2026-0003 は別のモデルのまま残し、どちらも次の事案との比較に使います。

same-actor と読める組はないので、主体モデルは作っていません。A と B の運用者が同じかは、B のログ（RDP の接続の記録）を入手しておらず、材料なしのままです。

事案 A を誰がやったかへの答えは、事案 A を含む UTA-2025-0031（事案 A と B を統合したモデル）の関連と特定です。関連では、事案 C とは shared-tooling と tool-continuity と読め、偽装の印が付いています。帰属対象ごとには、tool-lineage が一致 medium・1、tradecraft と objective が食い違い weak・1 で、operator は材料なしです。特定では、運用者の言語がロシア語（weak・1）、関心が安全保障と防衛の情報（medium・2）と防衛装備の情報（medium・1）です。所在、身元、指示主体は材料なしです。

モデルとしては、事案 A と B を統合した UTA-2025-0031 と、統合しなかった UTA-2026-0003 の、二つの活動モデルが残ります。どちらも、最初に関連と特定を示し、エビデンス記録を役割ごとにまとめています。関連と特定には、測った段階と独立した収集元の数をそのまま書いています。TAEF の問いのうち答えの出なかったもの（運用者が同じか、材料のない所在、身元、指示主体）は、答えられなかったことに理由とともに書いています。UTA-2026-0003 の特定は、UTA-2025-0031 の素性や身元を引き継がず、自分の記録から測った値だけです。

UTA-2025-0031

概要

シンクタンク A と防衛関連企業 B への、標的型メールによる侵入と文書の窃取

関連

• UTA-2026-0007（事案 B）：統合した（DS-2026-0012、関連の型 same-campaign）。統合の前に測った結果は、tool-lineage、developer、infrastructure、tradecraft、objective が一致 medium・1、operator が材料なし（not_examined）
• UTA-2026-0003（事案 C）：関連の型は shared-tooling、tool-continuity。偽装の印あり（一致は C2 通信の書式だけ）。統合した記録で測り直した結果は、tool-lineage が一致 medium・1、developer が弱い一致 weak・1、tradecraft と objective が食い違い weak・1、infrastructure と operator が材料なし（食い違いは not_used）

特定

• 素性：language（運用）：ロシア語、weak・1（EV-A-08）。interest（目的）：安全保障と防衛の情報、medium・2（EV-A-07、EV-B-05。防衛装備の情報と読んだ EV-B-05 も、この値に含まれるので支える）。防衛装備の情報、medium・1（EV-B-05）。細かさの違う値なので、一つにまとめずに書く
• 身元：材料なし。ドメインの登録者情報は隠れており、名義を示す記録がない
• 指示主体：材料なし。探した範囲に公式見解がない

答えられなかったこと

関連：UTA-2026-0003（事案 C）と運用者やインフラが同じか（same-operator と same-infrastructure は材料なし。食い違いは not_used で数えない）。特定：素性の location、身元、指示主体（材料なし）

期間

2025 年 11 月 18 日から 2026 年 2 月 20 日

種と履歴

種は事案 A の一回の侵入。DS-2026-0012 で UTA-2026-0007（事案 B）を統合した（same-campaign）

エビデンス記録

17 件（EV-A-01 から EV-A-08、EV-B-01 から EV-B-09）

開発

C2 通信の URI と User-Agent の書式（EV-A-03、EV-B-01、EV-B-08）。PDB パス（EV-A-02、EV-B-07）。埋め込み設定の接続確認の URL（EV-A-04、EV-B-02）

インフラ

レジストラ R で登録し、数日以内に使い始める（EV-A-06、EV-B-04、EV-B-09）

運用

whoami、net group、rar の順の手順（EV-A-05、EV-B-03）。RDP のキーボードレイアウト ロシア語（EV-A-08）

目的

安全保障と防衛の文書（EV-A-07、EV-B-05）

役割なし

バックドアの SHA-256（EV-A-01、EV-B-06）

調べた範囲

事案 A は、検体、イベントログ、通信の記録、ドメインの登録情報。事案 B は、ベンダー X のレポートと、入手したバックドア 1 件、その設定から取り出したドメインの登録情報。B のログ、添付文書、窃取に使ったツールは調べていない

属する主体モデル

なし。same-actor と読める比較がない

外部の呼び名

グループ X-17（ベンダー X、2026 年 3 月）。ベンダー X が指しているのは事案 B の活動だけで、対応づけの根拠は第三者の判断 TP-2026-0003。このモデル全体がグループ X-17 だという答えではない

UTA-2026-0003

概要

海外の通信事業者 C への、外部に公開したサーバーの脆弱性を使った侵入とデータの窃取

関連

UTA-2025-0031（事案 A と B）：関連の型は shared-tooling、tool-continuity。偽装の印あり。tool-lineage が一致 medium・1、developer が弱い一致 weak・1、tradecraft と objective が食い違い weak・1、infrastructure と operator が材料なし（食い違いは not_used）

特定

• 素性：language（運用）：英語（米国）、weak・1（EV-C-05）。interest（目的）：通信事業者の加入者情報、medium・1（EV-C-06）
• 身元：材料なし。名義を示す記録がない。UTA-2025-0031 の素性と身元は引き継がない
• 指示主体：材料なし。探した範囲に公式見解がない

答えられなかったこと

関連：UTA-2025-0031（事案 A と B）と運用者やインフラが同じか（same-operator と same-infrastructure は材料なし。食い違いは not_used で数えない）。特定：素性の location、身元、指示主体（材料なし）

期間

2026 年 1 月 12 日から 1 月 30 日

種と履歴

種はベンダー Y のレポート。同じ検体でつながるベンダー Z の解析を含める。事案 A とは same-campaign と読めないので、統合していない

エビデンス記録

8 件（EV-C-01 から EV-C-08）

開発

C2 通信の URI と User-Agent の書式（EV-C-02、EV-C-08）

インフラ

別のレジストラで登録し、40 日以上たってから使い始める（EV-C-04）

運用

systeminfo、nltest、7z の順の手順（EV-C-03）。RDP のキーボードレイアウト 英語（米国）（EV-C-05）

目的

加入者情報のデータベース（EV-C-06）

役割なし

バックドアの SHA-256（EV-C-01、EV-C-07）

調べた範囲

ベンダー Y のレポートと、ベンダー Z の検体解析。検体は入手していない

属する主体モデル

なし

外部の呼び名

なし

same-actor と読める比較がないので、主体モデルはまだ作っていません。主体モデルに束ねるのは、比較が same-actor（same-operator が一致）と読めたときだけで、開発元が同じというだけでは束ねません。たとえば、B のログを入手して、管理パネルへのログイン元（OPR-001）のような運用者を示す観測が事案 A と一致し、事案 A と事案 B の比較で same-operator が medium 以上の一致になれば、promote で次の主体モデルを作り、UTA-2025-0031 を束ねます。

ACT-2026-0001（事案 A と事案 B の比較が same-actor と読めた場合）

束ねた活動モデル

UTA-2025-0031。束ねたときの根拠にした比較（事案 A と事案 B の比較、関連の型 same-actor）を書く

期間

2025 年 11 月 18 日から 2026 年 2 月 20 日（UTA-2025-0031 の期間）

外部の呼び名

グループ X-17（ベンダー X、2026 年 3 月）。ベンダー X が指しているのは事案 B の活動だけ。対応づけの根拠は第三者の判断 TP-2026-0003

関連

束ねた活動モデルごとの比較を並べる。UTA-2025-0031 と UTA-2026-0003 の比較では、関連の型は shared-tooling と tool-continuity で、tool-lineage が一致 medium・1

特定

束ねた活動モデルの特定を、どの活動モデルの答えかを添えて並べる。運用の素性 language：ロシア語、weak・1（UTA-2025-0031）は、運用者が同じと読めたので、主体モデルの答えにする。interest（目的）の安全保障と防衛の情報（medium・2）と防衛装備の情報（medium・1）は、UTA-2025-0031 の答えとして並べ、主体モデルの答えにはしない。同じ運用者でも、別の依頼主のために別の情報を求めることがあるためである。location、身元、指示主体は材料なし

答えられなかったこと

UTA-2025-0031 と同じ

履歴

promote で UTA-2025-0031 を束ねた（根拠は事案 A と事案 B の比較、関連の型 same-actor）

このとき、UTA-2025-0031 の「属する主体モデル」は ACT-2026-0001 になり、UTA-2025-0031 の特定には、主体モデルの運用の素性と身元を、主体モデルの答えとして添えます。UTA-2026-0003 は束ねず、ツールの共有にあたる関連は、これまでどおり「関連」に残します。ベンダーが Kimsuky と呼ぶ主体の作戦を追う場合も同じで、主体モデルに外部の呼び名「Kimsuky」を発行元とともに付け、その下に作戦ごとの活動モデルを並べます。