『世界はこうして終わる サイバー兵器の軍拡競争』（2021年）は、世界中で進行するサイバー兵器の軍拡競争に深く切り込む一冊。規制のない破壊的兵器の市場がどのように生まれ、国家がそれらを購入・使用し、なぜそれが私たちの目前の脅威となるのかを解き明かす。
あなたにとっての学びは？ サイバー兵器がどれほど差し迫った脅威かを知る
2015年12月23日、クリスマス休暇が始まる直前、ロシアはウクライナ西部全域の電力と暖房を遮断した。ウクライナが2014年に独立を勝ち取って以来、ロシアは政府機関やメディアへのデジタル攻撃を仕掛けて報復してきており、今やその攻撃がいかに効果的かを証明してみせたのだ。ロシアのハッカーたちはウクライナのインフラを管理するネットワークに潜伏し、いまだに同国を支配下に置けることを示すために、真冬に6時間にわたって電気を止めた。そして念には念を入れて1年後にも同じことを行い、キエフの街を停電させた。
国家が一線を越えて他国の電力網をハイジャックするなど、かつてなかったことだ。しかし現実には、この攻撃は突然起こったものではない。何年も前から世界中でエスカレートする軍拡競争が起きていたのである。ただし今回の競争はロケットや弾道兵器ではない。コンピューターチップを搭載するほぼすべての機器をハッキング可能にする、デジタルコードの応酬だった。本書は、私たちがここに至るまでの経緯と、安全性とはほど遠いインターネットにますます多くのモノをつなげることで、自らをいかに脆弱にしているかを描く。
ゼロデイの起源
この要約では、以下のことが学べる
- ゼロデイとは何か、なぜ重要なのか
- 納税者のお金がどのようにハッカーへの監視ツール報酬に使われているか
- NSA（米国家安全保障局）の最高のハッキングツールがなぜ公衆に流出したか
イランのハッカーはすでにサウジ石油会社アラムコのネットワークをダウンさせ、データを消去し、3万台のコンピューターを破壊し、全ての画面に燃えるアメリカ国旗の画像を表示していた。そのため、わずか数年の取材で、プラグがついているものすべてが怪しく見えるようになっていた。インターネットからの緊急避難として、著者は1週間のケニア旅行を予約した。しかし、そのアフリカ休暇はエドワード・スノーデンが世界に米NSAの闇を垣間見せようと決意したことで中断された。NSAの契約社員だったスノーデンは、何千ものトップシークレット文書をリークした。これらの文書が明かしたのは、アメリカ最高のスパイ機関が――驚くべきことに――驚くほどスパイ上手だったということだ。
実際、そのツールと能力は他を圧倒していた。もっと驚きだったのは、多くの人がデジタル暗号化によってネットワークと情報がいまだ安全に守られていると信じていたことだ。スノーデンのリークは、その考え方を根底から覆した。NSAが暗号化をかいくぐる無数の方法を見つけていたのは明らかだった。あるケースでは、NSAは企業に金を払ってデータへのバックドアアクセスを提供させていた。しかし別のケースでは、そのバックドアはいわゆるゼロデイと呼ばれるものに由来していた。ゼロデイとは基本的に、ハードウェアかソフトウェアの欠陥であり、悪用されれば気づかれずに侵入を許してしまうものだ。
これは、その欠陥が公になっていないため、企業がパッチを開発するまでの猶予がゼロ日であることを意味する。例えば、Microsoft Explorerを使ってネットを閲覧している場合、そのブラウザのゼロデイの欠陥があれば、誰かがあなたのブラウザに気づかれずにハッキングし、パスワードやクレジットカード情報、メールを盗み、データをダウンロードしたりキー入力を記録したりできるのだ。スノーデンのリークにより、NSAが相当数のゼロデイを蓄積しており、それによって最も広く使われているアプリ、SNSプラットフォーム、携帯電話、コンピュータ、OSのすべてにアクセスできることが明らかになった。このニュースが広まると、AppleやMicrosoftといった企業がNSAと裏で通じていると考える人もいた。しかし、それは事実ではなかった。これらの企業は、NSAがゼロデイを知りながら、自分たちに欠陥を修正させなかったことを知ると激怒したのだ。
さらにもっと厄介なのは、NSAが必ずしも自らゼロデイを発見し開発していたわけではないという事実だ。彼らは納税者のお金で、世界中のハッカーからゼロデイを購入していた。次の章で見るように、ゼロデイ市場は道徳的に怪しいグレーゾーンであり、近年さらに闇を深めている。
ゼロデイ市場の第一の掟
スノーデンのリークはゼロデイが何をできるかの一端を垣間見せてくれた。しかし、サイバーセキュリティやハッカーコミュニティに詳しい人々の間では、すでによく知られていた。著者は、ハッカーがブローカーや入札者にゼロデイやエクスプロイトを売ることで大金を稼いでいることは知っていたが、買い手が誰かまでは知らなかった。
エドワード・スノーデンが誰もが知る名前になる数ヶ月前、著者は世界に数あるハッカーコンベンションの一つに参加していた。場所はフロリダ州サウスビーチ。しばらくして、彼女はドイツのセキュリティ専門家ラルフ・ラングナーと、2人のイタリア人ハッカーと同じテーブルに座っていた。著者はゼロデイ市場がどのように機能しているかをもっと知りたいと思い、2人のイタリア人にビジネスのやり方を詳しく尋ねた。例えば、通常誰に売るのか？ロシアやトルコなど、売るのをためらう国はあるのか？
しかし、2人のイタリア人は何の手がかりも口にしなかった。こうした沈黙にはしばしば法的な要素が絡むことが分かった。後に著者が知ったところによると、ゼロデイの売買にはしばしば売り手が秘密保持契約（NDA）に署名することが伴う。そのNDAには通常、ハッカーが一定期間、販売の詳細を口外しない旨が明記される。しかし、ゼロデイ市場について何も知られていないわけではない。2000年代初頭、ハッカーたちはよく掲示板にゼロデイのエクスプロイトを投稿していた。
また、Microsoftのような企業に欠陥を注意喚起しようとする者もいた。しかし、ほとんどの場合、彼らは「昨夜あなたの家に侵入しました」と告げた人のように扱われた。感謝される代わりに、訴訟を突きつけられたのだ。異なるやり方を見出した最初の企業の一つがiDefenseだった。駆け出しのセキュリティ会社であるiDefenseは、クライアントに潜在的危険に関する情報を提供し、パッチの開発に着手できるようにしていた。当初、初期のセキュリティ企業はBugTraqのような場所を監視するだけだったが、iDefenseは、すべてのハッカーが掲示板にエクスプロイトを投稿して得られる名声だけで満足するわけではないことを知っていた。
そこで2002年、iDefenseは新たな計画を打ち出した。ハッカーにゼロデイの対価として報酬を支払い、その情報をクライアントに提供するというものだ。誰もが恩恵を受ける。唯一の問題は、iDefenseのような企業には支払える金額に限りがあることだった。検証済みのエクスプロイト1件につき、せいぜい2,000ドル程度が限界だった。
2005年までに、政府の情報機関がはるかに巨額の予算を手に市場に参入し始めた。NSAのような機関が大金を投じたのは、影響を受ける企業に通知するためではないという点が大きな違いだ。むしろ正反対で、ゼロデイを秘匿し続けた。なぜなら、デジタルスパイツールは脆弱性が修正されないままであってこそ有用だからだ。こうしてアメリカ国民は、自分たちの税金が、自分たちのコンピューターや携帯電話の脆弱性を、それらを作った企業からも、自分たち自身からも隠し続けるために使われるという事態を迎えたのである。
金か倫理か
詳細が隠され、買い手と売り手が話し合えない市場は、どれもトラブルをはらむものだ。ゼロデイ市場も例外ではない。まず、ゼロデイの売買は非公開であるため、売り手は自分の仕事の適正な価格を見積もれない。売り手はまた、自分のゼロデイがどのように使われるかも知らされない。
もし売り手が騙されたり誤解させられたりしたと思えば、報復の可能性もある。さらに複雑なことに、買い手は金が動く前にゼロデイが機能することを検証する必要がある。検証だけして購入を断り、そのまま使用してしまうのを防ぐ手立ては何か？ 一方、買い手側も売り手に多大な信頼を置かねばならない。たとえ同意していたとしても、ハッカーが同じゼロデイを世界中の複数の国家に売り渡さないと誰が断言できるだろう？ これらの機関がお互いに在庫を公然と比較したりはしないのだから。
その結果、市場は途方もないほどの「信頼」に依存している。売り手はマフィアが守る沈黙の掟＝オメルタのように、自分たちの活動を口外しないことを基本的に約束する。そして誰もが、買い手は道徳的に高潔な生き方を説く武士道のような掟で動いていると考えたがる。自由を蝕み、世界の安全を危険にさらす情報を扱う際に、こうしたものに頼るのは非常に危険だ。著者はフロリダのハッカーコンベンションで、2人のイタリア人が質問に答えるのを拒んだ時、ドイツのセキュリティ専門家ラルフ・ラングナーが苛立ちを募らせた。彼は著者の方を向き、はっきりと大きな声で言った。「彼らは若い。自分たちが何をしているか分かっていない。気にしているのは金だけだ。自分たちのツールがどう使われ、どれほど悪い結末を迎えるかには全く興味がない」
2015年になって初めて、ゼロデイ市場のブローカーが匿名という条件で、著者に対してついにオープンに話すことに同意した。1990年代後半から、そのブローカーは米国の情報機関向けにゼロデイを購入する主要なコントラクターの1つで働き始めた。機関からは、ロシア大使館やパキスタン領事館への侵入方法を見つけるといった依頼が来た。
ブローカーのチームは、対象場所が使用している技術の種類を突き止め、侵入経路を見つけ出した。そのため、2000年代初頭のMicrosoft Windowsのバグが5万ドル程度だったのに対し、外国の標的が使っている無名のプログラムのバグはその倍の値段がつくこともあった。しかし2000年代が進むにつれ、買い手は米国機関だけではなくなった。他の政府もハッカーやブローカーに直接電話をかけ、「何を持っているか？」と尋ねるようになった。国際市場が本格的に参入したのは2000年代半ばで、ゼロデイに前例のない金額を提示した。一部の者にとっては、その金額は道徳的な疑問を打ち消すのに十分だった。
また、そもそも疑問すら抱かない者もいた。彼らは単にプログラムやシステムの欠陥を暴露しただけで、それを兵器化したりスパイ活動に使ったりしているわけではない。その心配は誰か他の人間に任せておけばいいと、彼らは喜んでそう考えたのだ。
公へ
もちろん、強い善悪の感覚を持つハッカーもいる。チャーリー・ミラーがその例だ。ミラーは家族の事情で退職するまでNSAで働いていたが、コードの分解と新たな脆弱性の発見をやめることはなかった。
実際、彼はかつてiPhone向けの偽の株式市場アプリを作成し、その端末にインストールされている他のすべてのアプリにアクセスできることを実証した。これはAppleの審査プロセスが決して完璧ではないことを証明し、ミラーに「ゼロデイ・チャーリー」という異名をもたらした。しかし、彼の最大の発見はそれではなかった。後に彼は、Linux OSに関する莫大な価値を持つゼロデイを発見した。だが、それを売ろうとした途端、市場がいかに非効率で不公平かを即座に思い知らされた。自分がいくら要求すべきか判断できず、潜在的な買い手がそれをだまし取って支払わないかもしれないという確信も持てなかった。
結局、ミラーはこのゼロデイを無名の政府機関に5万ドルと2年間の口外禁止期間で売却した。しかし、売り手がこれほど不利にならないよう、市場の問題点を暴きたいと考えた。2年の期間が過ぎた後、ミラーは「The Legitimate Vulnerability Market: Inside the Secretive World of Zero-Day Exploit Sales（正統な脆弱性市場：ゼロデイ・エクスプロイト販売の秘密の世界）」と題した学術論文を発表する計画だった。当然ながら、NSAはこれを快く思わなかった。エージェントたちはセントルイスに飛び、空港でミラーと面会したほどだ。
ミラーは口止め料として、たっぷりした現金の入った袋による買収を期待していた。しかし代わりに、エージェントは単に口を閉ざすよう強く促しただけだった。しかしミラーは黙らなかった。2007年、彼はカーネギーメロン大学のカンファレンスでその論文を発表した。これが、世界がゼロデイ市場の存在を広く知ることになった日である。一般大衆にはほとんど波紋を広げなかったが、ハッカーたちや、自社のハードウェアやソフトウェアが悪用されている企業にとっては画期的な出来事だった。
一部のハッカーは、ミラーが重大な違反を犯したと考えた。沈黙の掟を破ったのだ。しかし、ミラーに声援を送る者もいた。政府資金による市場を暴露することで、ハッカーはコンピューター企業が決めつけるような単なる犯罪者ではないことを示したのだ。彼らの仕事には価値があった。しばらくの間、ミラーはこれですべてが変わると考えた。彼はすぐに、他人のiPhoneを遠隔操作できるゼロデイを発見した。
しかし今度は、それをAppleに直接渡した。そして新しいAndroid OSのゼロデイを見つけた時は、Googleに持ち込んだ。当初、Googleはミラーと協力して脆弱性を修正することに関心を示したように見えたが、すぐにミラーは、Googleが彼の上司と連絡を取り、彼を解雇させようとしていることを知った。これが最後の一撃だった。
2009年、ミラーは「No More Free Bugs（無償バグ報告は終わりだ）」キャンペーンを開始し、それは野火のように広まった。ここまでしてもまだ、ハッカーを敵扱いするつもりか？ そうなれば、ハッカーたちが再びゼロデイを他で売りさばくようになるだけだ。
不可能な任務
長い間、各国はそれぞれ異なる機器を使用していた。ロシアにはロシアのハードウェアとソフトウェアが、アメリカにはアメリカのものがあり、両者が交わることはなかった。ロシアのコンピューターが感染しても、その感染が世界を越えてアメリカのコンピューターを苦しめる心配をする必要はなかった。もちろん、そんな時代はとうの昔に終わった。
今では、誰もが同じタイプのハードウェアとソフトウェアを使い、同じインターネットでつながっている。だから、敵対する相手に使われたものは、いとも簡単に自分に牙をむく可能性がある。アメリカでは、9/11以降、兵器化されたゼロデイの備蓄が膨大に増えた。同時多発テロ後、新たなサイバーセキュリティ法により、電子監視に裁判所命令は不要となり、情報予算は数十億ドルから750億ドルにまで膨れ上がった。世界中の人々がますますオンライン化し、情報をデジタル化するのと時を同じくして、当局はゼロデイを購入・開発するための資金を急に潤沢に手に入れたのだ。アメリカによるゼロデイの利用と兵器化の進展は、2007年にテヘランで起きた出来事を見ると最もよく理解できる。
イランが核兵器計画を加速させる中、イスラエルは攻撃の準備を進めていた。情勢は芳しくなかった。アメリカではジョージ・W・ブッシュが、この紛争の想定される結果についてブリーフィングを受けており、多くは第三次世界大戦の可能性を指摘していた。ブッシュは新たな選択肢を求めた。当然ながら、NSAはすでにイランの核施設のあらゆる詳細を分析済みだった。
使用されているあらゆる種類の機械に対応するゼロデイも用意していた。当時、これはすべて情報収集に使われる標準的なスパイ活動だった。しかし今や、戦争の勃発を防ぐことを願って、これらのツールを兵器化する計画だった。それは「オリンピック・ゲーム作戦」と呼ばれ、ある意味で創意工夫の驚異だった。インターネットに接続されていない施設に一連の7つのゼロデイが侵入した。このワームは気づかれることなくコンピューター全体に広がり、遠心分離機を制御するプログラムにたどり着き、誰にも気づかれずに遠心分離機を攻撃した。
イランが何が起きているのかを理解するまでには長い時間がかかった。そして2010年6月、ワームが施設の外に流出した。たぶんテストを行うために外部のラップトップが持ち込まれたのだろう。いずれにせよ、ワームが接続されたコンピューターに乗り移ったとたん、大混乱となった。ロシア、カリフォルニア、インド、ヨーロッパ、インドネシア――バグは至る所に存在し、すぐに公式名称がついた。「スタックスネット」である。100カ国以上、数万台のマシンが感染した。そして、ドイツ人のラルフ・ラングナーがパズルを解き明かした。
彼はコードを分解し、ある重要な標的番号「164」に気づいた。これは、イランの核施設にある遠心分離機の数だった。しかし、スタックスネットのコードを分解し、この前例のないサイバー兵器の仕組みを解明していたのはラングナーだけではなかった。今や、この兵器は製作者自身に向けられる準備が整っていたのだ。
急増する備蓄
2011年、ラングナーは毎年恒例のTEDカンファレンスでプレゼンテーションを行った。彼はスタックスネットについて徹底的かつ分かりやすい説明を行い、この高度なサイバー兵器が野に放たれた場合の影響を説明した。彼の主張は明確だった。誰かが少し調整を加えて、スタックスネットを化学工場、工場、あるいは送電網に向けることを止める手立ては何もないということだ。これは重大だった。
ラングナーはその皮肉を見逃さなかった。米国は通常戦争を回避するために危険なサイバー兵器を使用した。その過程で、その兵器は米国の敵の手に渡ることになった。しかも、それは新しいサイバー戦争時代の幕開けに起きたのだ。一方、イランは激怒し、報復の機会をうかがっていた。スタックスネットの独創性が世界中で大々的に報じられ、ゼロデイの市場はさらに拡大した。セキュリティ機関を持つ国はどこも、自らサイバー兵器の備蓄を始めようと躍起になった。NSAの職員の中には、エミレーツのような海外の、NSAのような政府機関よりはるかに高い給料を支払うCyberPointといった企業で働くために引き抜かれる者もいた。デビッド・エヴェンデンもそうした一人だった。
彼は、自分の努力の大半がテロリストではなく活動家や政治的反体制派の監視に使われていることが明らかになると、すぐにその職を去った。アメリカだけでも、2013年から2016年にかけて、監視技術を販売するブローカーの数は2倍に増加した。シャウキ・ベクラールが経営するフランス企業ヴュパンの政府機関への売上は、毎年倍増した。イスラエル、ロシア、インド――これらは皆、サイバー兵器にアメリカと同じくらいの金額を費やすことをいとわなかった。2013年までに、南極大陸だけが購入していない地域のように見えた。ベクラールは、ヴュパンの顧客が武士道の道徳的原則に従っていないことを誇示していた。
彼のツイッターのアバターはダース・ベイダーだった。彼は、自分が売ったゼロデイを政府がどう使おうと一切責任を負わなかった。2015年には、イタリアのブローカー企業「ハッキングチーム」の内部メールと契約書が公に流出した。このリークは、顧客を精査する際の同社の無神経な無頓着さを暴き出した。金さえ良ければ、人権状況の記録など関係なく、どんな政府でも受け入れられた。彼らはロシア、エジプト、サウジアラビア、カザフスタン、さらには米国の援助関係者が「世界で最も恐ろしい人権状況の一つ」と評したスーダンにまでゼロデイを販売した。
ハッキングチームや他の売り手たちは、これらすべての政府に、反体制派、ジャーナリスト、無実の人々を監視し抑圧するためのツールを供給することに貢献していた。冷戦時代の核兵器のように、一部の国は日常的に使うためではなく、持たざるよりも持つ方がましだという感覚の高まりから、サイバー兵器を備蓄していた。ゼロデイの絶対数も急増しており、『The Shellcoder’s Handbook: Discovering and Exploiting Security Holes』のような本が新人ハッカーにビジネスの手助けをしていた。しかし、その後に公開されることになるものに比べれば、これらはすべて霞んでしまうだろう。
今すぐインストールを！
2009年12月半ば、Googleの情報セキュリティチームは何かおかしいと気づいた。ネットワーク全体で警報が作動していた。何かが内部におり、システム中をめちゃくちゃに飛び回っていた。通常なら、不注意なインターンがオンラインギャンブルサイトを訪れた際にマルウェアが現れる程度だが、今回は違った。
この侵入者は何かを探していた。約250人のチームによる数週間の昼夜を徹した作業の末、侵入者はようやく根絶され、中国起源であることが示された。注目すべきことに、中国はGoogleのネットワークをハッキングし、そのソースコードを盗んでいたのだ。より具体的には、中国政府の委託を受ける最も精鋭なハッキンググループの一つ「Legion Yankee」による作戦だった。衛星技術、ミサイル、航空宇宙、原子力推進に関する情報――中国の精鋭ハッカーたちは、これらすべてに侵入し、盗み出してきた。そして今や、彼らはGoogleの運営を支える基幹技術を手に入れた。おそらく、中国が政治的反体制派のGmailアカウントを永続的に監視できるバックドアを設置するためだったのだろう。
この侵入事件以来、Googleのゼロデイへの対処法は変わった。共通認識はこうだ。「こんなことは二度と起こしてはならない」。新しい計画の一環は？ ハッカーにゼロデイの対価を支払うことだ。2010年から、Google製品の検証済みの欠陥を報告したハッカーは、最高31,337ドルの報奨金を受け取れるようになった。これはハッカー用語で「elite」と表記される数字である。国際市場が支払う金額には遠く及ばなかったが、いくつかのボーナスが付いていた。
ハッカーは新たに発見したエクスプロイトを自由に自慢できたし、どこかの国家が人権を踏みにじる手助けを担ったという心配も無用だった。MicrosoftやFacebookのような企業も、ゼロデイを届け出たハッカーに訴訟をちらつかせる代わりに、報奨金を支払うようになった。しかし、一部の売り手はその低い報酬に尻込みした。2012年、ヴュパンのシャウキ・ベクラールは最新のChromeブラウザを3時間で破り、それをGoogleに報告するなどという考えを一笑に付した。彼は記者にこう言い放った。「たとえ100万ドル積まれてもGoogleとは共有しない。これは我々の顧客のために取っておく」
当然ながら、これはテック企業を怒り狂わせた。しかし結果的に、競合他社よりも速く製品を出すことだけに関心を向けるのではなく、セキュリティに真剣に取り組む決意をようやく固めさせることになった。ほどなくして、Microsoftには毎年20万件もの脆弱性が報告されるようになった。自社製品が悪用され得る20万通りの方法だ。
これは、世界最高のテック企業の一つであるMicrosoftが毎年対応しなければならない20万件のパッチを意味する。さて、報告されていない脆弱性が、すべてのプラットフォームとすべてのデバイスにどれほど存在するか考えてみてほしい。ベクラールのような人間にとって、その一つひとつが潜在的な給料日なのだ。言うまでもなく、お使いのOSが検証済みのアップデートを提供してきたら、先延ばしにせず今すぐインストールすべきだ！
サイバー兵器外交
オバマ政権時代、あらゆるものがデジタル化された。スマートフォンが遍在するようになり、ソーシャルメディアやクラウドサーバーとともに、人々は自らの人生を丸ごとインターネット上に投げ出した。そしてこの時期、米国のサイバーセキュリティにとって主な脅威は3つあった。イラン、中国、そしてロシアである。
2015年、オバマは脅威のうち2つを無力化しようと試みた。第一に、彼はイランと核合意を結び、それは功を奏したように見えた。イランからの攻撃はほぼ止んだ。次に焦点は北京に移った。何年もの間、中国のハッカーは執拗であり、知的財産を欲望のままに盗み続けていた。彼らはベンジャミン・ムーア塗料の調合からF-35戦闘機の設計図まで、ありとあらゆるものを盗んだ。
2015年までに、彼らは米国政府職員全員の個人情報（指紋を含む）を保管する機関、米国人事管理局（OPM）のネットワーク内部に潜伏しているところさえ発見された。誰かが気づく何年も前からそこに潜んでいた可能性が高い。2015年9月、オバマは習近平をホワイトハウスに招いた。レッドカーペットが敷かれ、礼砲が撃たれ、軍楽隊が中国国歌を演奏し、子供たちは中国の旗を振った。しかし、オバマが問題を追及する中、数日間は緊張が続いた。
これはスパイ活動の話ではない。米国もまた盗聴していることは両者とも承知していた。しかし、窃取は止めなければならない、さもなくば制裁だと。両者は合意に達した。知的財産の窃取はもう行わない。平時における重要インフラへの攻撃も行わない。2年間、中国のサイバー攻撃は90％も減少した。
しかし、これらデジタル上の停戦は、どちらも長くは続かなかった。トランプがホワイトハウスに入ればなおさらだ。一方で、ロシアはシステムに深く浸透していた。2013年初頭までに、米国のインフラシステムに対して少なくとも198件の攻撃があり、コードを解析しようとするセキュリティ企業はロシア語の痕跡やモスクワのタイムスタンプを見つけ続けていた。これらの攻撃に使われたロシアの選択兵器は、「サンドワーム」と名付けられた。これは、世界中で水処理施設、電力網、石油・ガスパイプラインの制御に使われているゼネラル・エレクトリックのソフトウェアを特に標的にしていた。
2014年と2015年に、ロシアがウクライナの電力を2度にわたり停止させた際、世界はこの兵器が何ができるかの一端を目の当たりにした。米国の諜報が突き止めたところでは、ロシアは警告として米国のインフラのシステムやネットワーク内部に潜り込んでいたのだ。そのメッセージは、「ウクライナでの我々の行動にどう反応するか注意せよ。こちらは君たちの電気も止められるのだ」というものだった。それは相互確証破壊の新時代だった。したがって、これらの攻撃が前例のない性質のものであったにもかかわらず、世界の対応は、より多くの機器や重要インフラをインターネットに接続し続け、結果として脆弱性を増大させるだけだった。
王国の鍵
2016年8月、アメリカは混沌に支配された。選挙の年であり、その頃までにロシアのハッカーは、民主党全国委員会のサーバーやヒラリー・クリントン陣営の選挙対策本部長のメールアカウントにすでに侵入していた。彼らは盗んだ情報をウィキリークスを通じて公開していた。そこに、さらなる悪い知らせが届いた。
ツイッター上で、シャドー・ブローカーズを名乗るグループが、NSAのサイバー兵器の数々を発見し、それらを今や無料の総取り放題としてインターネット上にばら撒いていると主張したのだ。ある元NSA職員が言ったように、「これらは王国の鍵」だ。事態は悪化しており、さらに一層悪くなるだろう。スノーデンの初期のリークが目を見張らせるものだったとしても、彼が認識していたツールは氷山の一角に過ぎなかった。彼は下級の契約社員に過ぎず、TAO（Tailored Access Operations、精密アクセス作戦）として知られるNSAの精鋭部隊が自由にできるものを知らなかった。これらのツールには、マイクロソフトのソフトウェア・プロトコルを標的とする一連のゼロデイが含まれていた。
それは「エターナルブルー」と呼ばれ、痕跡をほとんど残さずにサーバーからサーバーへと飛び移ることができた。情報収集に使われていたとはいえ、エターナルブルーが悪意ある者の手に渡れば、致命的な兵器に変貌しうる。だから、2017年4月にシャドー・ブローカーズが、NSAの最高級ゼロデイエクスプロイト20点のコレクションの一部としてエターナルブルーを公開することを決めた時のNSAの落胆ぶりを想像してほしい。もちろん、公になったことで、理論上はマイクロソフトは脆弱性にパッチを当てることができた。しかしそれは、古い、あるいは海賊版のWindowsを実行しているすべてのコンピューターが適切なアップグレードをインストールしなければならないことを意味した。それは事実上、不可能だった。
数週間のうちに、エターナルブルーの亜種に感染したコンピューターの数は4倍に跳ね上がった。しかし、この兵器の一つの亜種が最も人気を博していることがすぐに明らかになった。ランサムウェアである。これは、病院の患者ファイルや都市の送電網などのシステムを乗っ取り、現金の支払いを要求して人質にとるやり方だ。特に北朝鮮は、ランサムウェアが切望される収入を生み出す効果的な方法であることを発見していた。最も効果的なランサムウェア攻撃の一つは、2017年に公開され、最終的に北朝鮮まで辿られた「WannaCry」として知られるエクスプロイトだ。24時間以内に150カ国に拡散した。
なぜそれほど効果的だったのか？ そのコードはエターナルブルーにまで遡ることができるのだ。同様に、「NotPetya」として知られるマルウェアのようなロシアの新たなサイバー攻撃も、エターナルブルーにルーツを持っている。最終的に、ランサムウェア攻撃は数十億ドルを生み出しており、さらに一般的になりつつある。
2019年から2020年の間に、米国の600以上の町や都市がランサムウェアによって人質に取られた。あらゆる証拠が、事態は良くなる前に悪化することを示しているようだ。著者は、ニュージーランドのハッカーが写った一枚の写真を思い返さずにはいられない。その写真で彼は、胸に大切なメッセージがプリントされたTシャツを着ている。 「SOMEONE SHOULD DO SOMETHING. （誰かが何とかしなければならない）」
最後に：まとめ
この要約の核心メッセージ：コンピューターネットワークを完全に侵入不可能で安全にするのは不可能だと、ほとんどの専門家が認めている。しかし、改善ができないわけではない。 この数十年間、常に重視されてきたのは防御ではなく攻撃だった。 米国はエクスプロイトの発見と兵器化に忙しくしており、自国の重要インフラや製品は攻撃に対して脆弱なままにしてきた。
米国のハードウェアおよびソフトウェア企業は、製品を可能な限り速く市場に出すことを哲学とし、詳細は後回しにしてアップデートや新モデルで問題を修正してきた。 代わりに、製品がリリースされる前、あるいはシステムやネットワークがオンラインに接続される前に、セキュリティのテストと再テストに集中すべきなのだ。 ノルウェーや日本では、政府の規制が通信、金融、運輸、電力に使われるシステムのセキュリティを厳格に管理し、テストしている。 日本がこれらの措置を2005年に実施した後、サイバー攻撃は50％減少した。 これに倣うどころか、トランプは2018年に国家サイバーセキュリティ調整官の役職を廃止した。 この役職は再設置され、強化されねばならない。
脆弱性に関する新たなルールが設けられれば、それも助けになるだろう。 NSAはエターナルブルーのマイクロソフトの脆弱性を3年間保持していた。 これは、特にこれほど広く使われているソフトウェアにとっては、あまりにも長すぎる。 少なくとも、米国は情報機関がゼロデイを秘匿し続けられる期間の制限を設けるべきであり、そのゼロデイが引き渡される際には、ユーザーが気づけるように一般向けの勧告通知が出されるべきだ。 これらは著者のアイデアのほんの一部であり、完全無欠の解決策ではないが、少なくとも正しい方向への一歩となるだろう。
