JPモルガン・チェース、ソニー・ピクチャーズ、ターゲット、アンセム・ヘルスケア、フィアット・クライスラー。これらの企業はいずれも、過去20カ月に大規模なサイバー攻撃の標的となり、顧客や従業員の信頼を揺るがされるとともに、防御を強化するためのさらなる支出を余儀なくされた。
しかしジョン・ストランド氏にとって、こうした攻撃はビジネスにとって大きな追い風となってきた。 サイバーセキュリティ の専門家で、南ダコタ州の人里離れたブラックヒルズを拠点とするストランド氏は、「能動的防御」と呼ばれる、企業をハッカーから守る新たなアプローチを専門としている。これは、従来のパスワードやファイアウォールだけに頼る方法に代わる、攻撃的な選択肢である。
「攻撃に次ぐ攻撃、また攻撃だ。私のビジネスは急成長している。中国に、素晴らしい一年をありがとうと書いたクリスマスカードを送りたい気分だ」と彼は語った。
ストランド氏のような企業は、ハッカーを罠におびき寄せる手法や、攻撃の起源を突き止めるためにハッカーの足取りをたどる手法を用いている。しかし、より論争的で、おそらく違法な手法によって、サイバー犯罪者に対して「ハッキング反撃」を行うことを提案する企業も存在する。こうした手法をひそかに用いる企業もいれば、法を犯すことを恐れて使いたくても使えない企業もいる。合法か否かにかかわらず、脅威を考えれば、ハッキング反撃は必要だと主張する者もいる。
一連の 壊滅的な攻撃が相次いだことを受け、企業と政府は防御を強化し、攻撃者による脅威を無力化するためのより積極的な方法を模索して反撃に乗り出している。しかし、技術的な優位は攻撃者側にあり、法的・政治的な考慮が、潜在的な被害者がどこまで対応できるかを制限している。
米国企業の約46%が過去2年間にサイバーセキュリティ予算を引き上げており、半数は今後2年間でさらに支出を増やすと答えていると、サイバーセキュリティ研究機関のポネモン研究所は報告している。
「能動的防御への前例のない関心と、受動的な対応への不満が高まっている」と、ウェブセキュリティの専門企業ソフォスのグローバル研究責任者ジェームズ・ライン氏は語る。
防御への関心の急増
米国防高等研究計画局（DARPA）の資金を用いて、ストランド氏はサイバー犯罪者を阻止するための20の策略と罠のセットの作成に協力した。「Active Defense Harbinger Distribution」キットのダウンロード数は過去2カ月でほぼ倍増し、週平均約500件となった。今後、ラスベガスで開催されるセキュリティ会議ブラックハットで予定されている彼の「能動的防御」セッションは、すでに完売している。ストランド氏によれば、大規模なサイバー攻撃が起きるたびに、能動的防御への関心は「大きく急増」するという。
一連のサイバー攻撃は、銀行から小売業者、エンターテインメント企業から医療提供者に至るまで、あらゆる分野がいかに脆弱であるかを示している。各社は、事業の生命線であり、ハッカーにとっての宝の山でもある顧客データ、知的財産、財務情報を守るため、防御を強化したいと考えている。
ライン氏は、能動的防御の手法を用いてハッカーを 2013年のTEDトークで追跡できることを示した。彼はハッカー集団が使用していたクラウドサービスにアクセスし、電話番号を見つけ、GPS情報を用いて彼らのオフィスビルの位置を特定した。さらに、ハッカーたちのクリスマスパーティーの写真まで見つけることができたという。
しかし、彼らを見つけることは簡単な部分にすぎなかった。「数百万ドルの窃盗があったにもかかわらず、サイバー犯罪者は逮捕されておらず、現時点ではおそらく今後も逮捕されることはないだろう」と彼は語った。「サイバー犯罪条約があるにもかかわらず、ほとんどの法律は国内法にとどまっている一方、インターネットは国境がなく、定義上国際的なものだ」
ハニーバジャーを投入せよ
サイバーセキュリティの専門家は、能動的防御の主要な手法を「三つのA」に分類している。すなわち、嫌がらせ（annoyance）、特定（attribution）、攻撃（attack）である。ただし、これら三つのAのうち、正当と見なされるのは二つだけである。
嫌がらせ（annoyance）は、ハッカーを追跡して偽のサーバーへ誘導し、時間を浪費させるとともに、彼を検知しやすくすることを含む。新世代のスタートアップ企業がデータセンター向けの罠の構築を専門としており、イスラエルの2社、TrapXとGuardicoreもその中に含まれる。
特定（attribution）は、攻撃の発信元を特定の場所、さらには個々のハッカーにまで遡って突き止めるツールを用いる。ADHDキットで最も人気のある二つのツールは、いずれも特定の技法である。一つは「ハニーバジャー」で、攻撃の発信元を探し出し、衛星写真で緯度・経度を追跡する。もう一つはビーコンで、文書に埋め込まれ、利用者のシステム外でデータがいつ、どこからアクセスされたかを検知する。
しかし、三つ目のAである攻撃が最も論争的である。「ハッキング反撃」では、企業は疑わしいハッカーのコンピューターにアクセスし、そのデータを削除したり、さらには報復したりする。これらの手順は、いずれも違法と見なされている。
自警主義による正義
ストランド氏は、ハッキング反撃を望むほど苛立つ企業を見てきた。マレーシアの銀行が、ハッカーを追跡する手助けを求めて連絡してきたが、「自警主義的な正義」を助長することを恐れ、同氏はその仕事を断った。
「私たちはそのような案件は扱わない。新聞を開いて、別の国でハッカーに対する殺し屋の依頼が出されたと知るようなことは望まない」と彼は語った。「一部の銀行、必ずしも米国の銀行ではないが、一部の国際的な銀行が攻撃者を威嚇するために行っていることを、私は恐ろしく思う」
ジュニパーネットワークスのセキュリティ最高技術責任者クリス・ホフ氏は、能動的防御の要素を自社製品に統合している。「ここだけの話だが、倫理的にも法的にも懸念がなければ、誰もが「軌道からの核攻撃」ボタンを欲しがっている」と同氏は語る。
代わりに、セキュリティ分野の弁護士たちは、大規模なサイバー攻撃の世界とはほとんど関係のないある事例を用いて、法的に許容される「能動的防御」と、違法な「ハッキング反撃」との間に線を引かざるを得なくなっている。
2011年、オハイオ州の教師が、盗品だと気づかずにそのノートパソコンを使い、恋人とウェブカメラで性的なチャットを行っていた。所有者のために盗難品の監視を行っていたアブソリュート・ソフトウェアは、そのノートパソコンを突き止め、彼女の通信を傍受し、最もプライベートなオンライン上の瞬間のスクリーンショットを撮影した。
スーザン・クレメンツ・ジェフリー氏はアブソリュート・ソフトウェアを提訴し、勝訴した。判事は、たとえそのノートパソコンが盗まれたものであっても、同社が利用状況を監視するためにそれに侵入することはできないと判断した。この判例に基づき、サイバーセキュリティの弁護士たちは、たとえ盗まれた自社データを削除するためだけであっても、他のネットワークに侵入すれば、企業が法を犯すリスクがあるとの結論に達している。
しかし、一部の企業は、インターネットを規制する法律が少ない国々にサイバー防御部門を置くことで、米国法のこうした制限を回避している。また、米国外の一部のサイバーセキュリティ企業も、米国の顧客に代わってハッカーへの攻撃を行っていると、ベッセマー・ベンチャー・パートナーズでセキュリティ系スタートアップ企業に投資するデイビッド・コーワン氏は語る。
「もし米国にあるような厳しい法律がなければ、銀行は脅威の発信源をはるかに積極的に攻撃していたと思う。[米国外の]ベンダーが、料金を取らず好意で、[米国の]顧客に代わってハッカーを攻撃したケースを見たことがある」
英国では、ライン氏はさらに付け加える。大半の弁護士は、法律が米国と同様だと結論づけている。ただし、「法的明確性からかなりの距離がある」状況があり、ある企業の弁護士は、攻撃者のIPアドレスを追跡するためにウェブサイトにコードを挿入することは合法だと判断する一方、より多くの情報を収集するコードを挿入することは悪意あるものだとしている。国際的に一貫性のある明確な法律が存在するまで、企業が能動的防御をどこまで進められるかは、「抱える弁護士の数、そしてセキュリティチームの規模と成熟度」に左右される。
元政府当局者は、対応を求められるFBIや情報機関に頼るよう言われている企業が感じる苛立ちを認めている。
バラク・オバマ大統領およびジョージ・W・ブッシュ元大統領の元ホワイトハウス・サイバーセキュリティ顧問であるハワード・シュミット氏は、企業がハッキング反撃を行うべきかどうかについて「大きな議論」があると述べる。「途方もない苛立ちがある」
車を盗まれて乗り捨てられているのを見つけた場合、法的には車に戻って乗ることが認められている、と同氏は言う。「サイバーの世界ではそうはいかない。そうすることは重罪だ。代わりにそれをやってくれる機関が必要だ」
しかし、多くのサイバーセキュリティ専門家は、企業にハッキング反撃を認めることには深刻な問題があると見ている。攻撃を実行した人物を正確に特定するのは難しく、企業は無関係のユーザーを標的にするリスクがある。「これらすべての根底にあるのは特定の問題だ」とホフ氏は言う。「ほとんどの人にはそれができない」
ライン氏はさらに、ハッカーは「法律を悪用するのが非常にうまい」と指摘する。弁護士が攻撃の許可を与えないであろう正規のネットワークを利用することで、ハッカーはそうしている。「どの弁護士も、たまたま悪質なマルウェアを配布している花屋のジョー・ブロッグス氏のウェブサーバーに対して攻撃的な手法を許可することはないだろう」
反撃はまた、問題をさらに悪化させる可能性もあり、より深刻な攻撃を招くとともに、サイバー犯罪者の支持者が戦いに加わることで、ハッカー・コミュニティ内の潜在的な敵対者を刺激しかねない。
きわめて稀な公的な報復の試みとして、イスラエル企業ブルー・セキュリティは、ほぼ10年前、迷惑メールに対して攻撃者を妨害することを目的とした大量の電子トラフィックを送りつけることで形勢逆転を図った。この反撃は迅速かつ壊滅的な報復を招いた。ブルー・セキュリティのシステムは大規模なDoS攻撃を受けてオフラインに追い込まれ、同社は不適切な対抗策の放棄を余儀なくされ、最終的に閉鎖に至った。
攻勢に出たくてうずうずしている企業にとって、これはサイバーの最前線がいかに危険になっているかを思い起こさせる警告である。「西部開拓時代には、保安官を恐れて自分たちで争いに決着をつけるのが当たり前だった。しかし、ある時点で、それは正義を維持する上で拡張可能な方法ではなくなる」とコーワン氏は語る。
政府の役割とは何か？
オバマ大統領は昨年2月、シリコンバレーで初のサイバーセキュリティ・サミットを開催した際、企業と政府の間の情報共有を促すことを目的とした大統領令に署名した。このアイデアは、最近の攻撃の急増よりずっと前から何年も議題に上っていたが、より積極的なサイバー防御のための法的枠組みの構築に役立つ可能性があると主張する声もある。
企業が政府と情報を共有することにより安心を感じられるようになれば、アクティブ・ディフェンスのうち嫌がらせ（annoyance）と特定（attribution）の要素を自ら行い、その後、発見した情報を法執行機関に引き渡すことができる。法執行機関は、その後の反撃の責任を負うことになる。
「私個人としては、国土安全保障省、国防総省、FBIが原子力発電所を守る解決策の一部であることを知れば、はるかに安心できるだろう。彼らに任せきりにすべきではないと思う」とコーワン氏は語る。
大統領令と情報共有法案に加え、司法省は、顧客や取引先に関連する可能性のあるデータを政府に引き渡すことについて、企業の法務責任者がより安心できるよう、接触を進めている。
司法省で国家安全保障を担当する司法次官補ジョン・カーリン氏は、能動的防御に関する法律が増加する攻撃件数に追いついていないことを認めている。「サイバー分野全般は、技術も政策の変化も非常に速い。サイバーに関して我々が直面するほぼすべての問題は、法律の明確化を求められている領域だ」と同氏は語った。
しかし、一部の弁護士は情報共有の枠を超えて、企業がより多くの行動を取れるよう求めている。ブルッキングス研究所の上級研究員で、ベン・ウィッテス氏は共著書『 A Future of Violence』の共著者として、企業を縛る法律が攻撃者に有利に働いていると同意している。「攻撃する側は法的な問題をまったく考えないが、防御する側には『それはできない、あれもできない、これもできない』と言う弁護士が大勢いる」と同氏は語る。「政府に確実に頼れない環境では、自分自身を守るために取る合理的な措置に対して、法律はより寛容であるべきだ」
ウィッテス氏は、自衛条項を含む法律を作ることは難しいと述べる。しかし同氏は、法執行当局が、企業のサイバー防御が一線を越えているように見える場合でも、単に見て見ぬふりをするようになるかもしれないと示唆する。「答えは合法化することではなく、積極的な自衛を大いに容認することだと思う」と同氏は語った。「かなりの量が行われている。それが問題ないと言う人はいない。しかし、それで起訴される人もいない」
あわせて読みたい
サイバー攻撃に備える方法
サイバーセキュリティの5つの経済原則
サイバー犯罪がモバイルライフスタイルを阻害するのをどう止めればよいか？
アジェンダの最新情報を追うには、 週刊ニュースレターに登録してください。
執筆者：ハンナ・クーチラーは、ソーシャルメディアとサイバーセキュリティを担当するフィナンシャル・タイムズのサンフランシスコ特派員です。本記事は フィナンシャル・タイムズとの協力により掲載されています。掲載は世界経済フォーラムの見解の支持を意味するものではありません。
画像：「スパム」コンテンツをブロックする組織が標的となった後、最大級のサイバー攻撃の一つにより世界のインターネットサービスが遅延している。REUTERS/Kacper Pempel
