せきゅラボ研究結果 第19回

ギャリー・デイビス氏（米国マカフィー セキュリティ エヴァンジェリスト）に訊く

2018年、我々は悪意ある者たちが「プレイブック」を変更した世界を歩く

猛威を振るったランサムウェア「WannaCry」。金銭目的としては失敗だったが、別に意図があったとしたら……

悪意のある者たちの“心変わり”が脅威の連鎖を生んでいる

三上　ではIoTに並ぶようなトレンドはありますか？

デイビス　やはりモバイルデバイスのセキュリティですね。私は昨日、飛行機で日本へ到着したのですが、到着してからメールを確認したところランサムウェア「Bad Rabbit」についてのメールが30通も届いていました。Bad Rabbitは「Petya」の亜種ですが、大きなセキュリティの事象として今後も問題になると認識しています。

　2014年に「Heartbleed」の問題が起こり、それ以降「WannaCry」「Petya」の問題が発生したあと、「Equifax（米国で発生した大規模情報漏洩事件）」、「KRACK（Wi-FiのWPA2の暗号鍵における脆弱性問題）」などが発生しています。特筆すべきは、個人ユーザーに直接関係するような大きな事件は3年前を最後に鳴りを潜めていたはずが、突如ここ4ヵ月間でセキュリティインシデントが立て続けに発生したことです。これは看過しがたいものがあるでしょう。

三上　なぜこんなに一気に問題が発生したのでしょうか？

WannaCryなどの成功体験が、悪意ある者たちの基本行動を変えてしまった可能性があるとデイビス氏は語る

デイビス　理由はいくつかあると思うのですが……その1つは「WannaCry」が現れたことで、悪意ある者たちのプレイブック（編注：「定石」のような意味）そのものが書き換えられたのだと思っています。従来の攻撃は、特定の相手に狙いを定めるものだったのですが、現在は広範囲に攻撃して「どうなるかを見てみよう」という動きになっているのでは。

　もう1つは「成功経験」だと思います。一度こういったインシデントを起こすことに成功しすると、さらなる成功を求めるようになります。ソニー・ピクチャーズ・エンタテインメント、Netflix、ディズニーなどなど、有名企業のインシデント事件が公になると、悪意のある者たちはそのニュースに刺激を受けてさらに活動を活発化させる傾向にあります。

三上　成功経験と言えば、WannaCryはビットコインの口座を見るとそれほど儲けていないと思うのですが、あれは「成功」だったのでしょうか？

デイビス　WannaCryは金銭的に成功したとは言えませんが、宣伝効果という意味では成功したのではないでしょうか。

三上　それは誰の宣伝になるのでしょう？

デイビス　Microsoftやほかのセキュリティ対策製品メーカー数社がWannaCryの作者を特定して某国ではないかと指摘していますね。しかしその国家は認めてもいませんが否定もしていません。コードをみるとその可能性は高そうですが。ただ、その国家にとっては金銭的なメリットがあるのと同時に、悪名を知らしめるという宣伝効果があるのでは、と考えます。

モバイルを狙う脅威に予断は許されない

三上　今後もコンシューマー向けの大規模な事件は起きそうですか？

デイビス　予想は難しいですが、今後はモバイルデバイスを標的とした脅威が増えてくるのではと思っています。しかもどんどん厳しい状況になるのではと思います。なぜかといえば、モバイルユーザーはセキュリティをしっかり施していないケースが多いからです。それはメーカーにも言えることです。

三上　モバイルで言うと、Androidの古い端末はOSのアップデートすらできない状況にあると思うのですが……これはどうしたらいいでしょう？

デイビス　捨てるしかないかもしれません。セキュリティ対策製品をインストールし、アプリの更新をする必要があるでしょう。しかしOSレベルの脆弱性となると、わたしにもどうしたらいいかわかりませんね。

三上　モバイルの脅威というのは「アプリの脅威」や「OSの脆弱性に対する脅威」なのでしょうか？　それとも「使っているユーザーが詐欺に遭う脅威」でしょうか？

デイビス　個人的に心配しているのは、Google Playのような公式サイトにマルウェア入りのアプリが混じることですね。もちろんそれは運営側にとっても大きな課題となっているとは思いますが。また将来的には、SNSやメールを悪用したフィッシング詐欺によってマルウェアが侵入することも懸念されます。

　私も実際にフィッシングメールを受け取ることがあり、なかにはクリックしてしまいそうになるほど良くできたものもあります。私の使ってる端末の仕様や位置情報までメールに含まれていますからね。先日も1000ドルに釣られてうっかりマルウェアをダウンロードしそうになりましたよ（笑）