投稿者: TechCrunch Japan

2021年は、ランサムウェアギャングが重要インフラに目を向け、製造業、エネルギー流通、食品生産を中心とした企業をターゲットにした年として記憶されるだろう。

Colonial Pipeline（コロニアル・パイプライン）のランサムウェア攻撃は、ITネットワークへのランサムウェア攻撃が燃料を分配するパイプラインを制御する運用ネットワークへ広がる懸念から、結果として5500マイル（約8850km）のパイプラインを停止させる事態となった。

運用・制御技術（OT）ネットワークは、生産ライン、発電所、エネルギー供給を継続的に行うために重要な機器を制御するもので、重要なハードウェアをサイバー攻撃からより適切に隔離することができるよう、通常、企業のインターネット向けITネットワークからセグメント化されている。OTネットワークに対する攻撃が成功することは稀だが、Colonialへのランサムウェア攻撃をきっかけに、CISA（米国土安全保障省サイバーセキュリティー・インフラセキュリティー庁）は重要インフラ所有者にとって脅威が増大していると警告している。

セキュリティ研究者は現在、これらのOTネットワーク上にある組み込み機器がもたらすリスクについて警鐘を鳴らしている。組み込み機器向けのセキュリティプロバイダーRed Balloon Security（レッドバルーンセキュリティ）は、実際のネットワークで使用されている組み込みシステムでランサムウェアを展開することが可能であることを、新たな調査で明らかにした。

同社によると、Schneider Electric（シュナイダーエレクトリック）のEasergy P5保護リレーに脆弱性が発見された。この装置は、障害が発見されるとサーキットブレーカーを作動させ、現代の電力網の運用と安定性に重要な役割を果たすものだ。

この脆弱性を悪用してランサムウェアのペイロードを展開することが可能で、Red Balloonはこのプロセスを「高度だが再現可能」だと述べている。Schneider Electricの広報担当者はTechCrunchに対し「サイバー脅威には非常に警戒している」とし「Schneider ElectricのEasergy P5保護リレーの脆弱性を知り、直ちにその解決に取り組みました」と述べた。

Red Balloonの創業者で共同CEOのAng Cui（アング・ツイ）氏は、ランサムウェア攻撃は重要インフラプロバイダーのITネットワークを攻撃しているが、OT組み込み機器の攻撃に成功した場合は「はるかに大きな損害」になるとTechCrunchに語った。

「企業は、組み込み機器そのものへの攻撃から回復することに慣れていませんし、経験もありません」とツイ氏は話す。「デバイスが破壊されたり、回復不可能になった場合、代替デバイスを調達する必要がありますが、供給量に限りがあるため、数週間かかることもあります」。

2021年にIoTメーカーがソフトウェアアップデートを確実かつ安全にデバイスに配信できるようサポートするスタートアップを立ち上げたセキュリティのベテランであるWindow Snyder（ウィンドウ・スナイダー）氏は、特に他の侵入ポイントがより回復力を持つようになると、組み込み機器は簡単にターゲットになる可能性があると話す。

組込み機器に関して、スナイダー氏はTechCrunchに対し「その多くは特権分離がなされておらず、コードとデータの分離もなされておらず、多くはエアギャップ・ネットワーク上に置かれることを想定して開発されたもので、それでは不十分です」と述べた。

Red Balloonの調査によれば、数十年前に製造されたものが多いこれらの機器に組み込まれているセキュリティは改善される必要があり、政府や商業部門のエンドユーザーに対して、これらの機器を製造しているベンダーに対してより高い基準を求めるよう呼びかけている。

「ファームウェアの修正版を発行することは、最もミッションクリティカルな産業やサービスにおける全体的なセキュリティの低さに対処できない、消極的で非効率的なアプローチです」とツイ氏は指摘する。「ベンダーは、組み込み機器のレベルまでセキュリティを高める必要があります」。同氏はまた、米政府が規制レベルでより多くの取り組みを行う必要があり、現在、デバイスレベルでより多くのセキュリティを組み込むインセンティブがないデバイスメーカーに、さらなる圧力をかける必要があると考えている。

しかし、スナイダー氏は、規制主導のアプローチは役に立たないと考えている。「最も有効なのは、攻撃対象領域を減らし、区画化を進めることだと思います。より安全なデバイスを作るために規制をかけることはできないでしょう。誰かが、デバイスに回復力を持たせなければならないのです」と述べた。

画像クレジット：Sean Gallup / Getty Images

［原文へ］

（文：Carly Page、翻訳：Nariko Mizoguchi）

ここ数カ月、計画的な生体情報の収集がかなり熱を帯びて加速している。これについて心配していないのなら、した方がいい。

実際、バカバカしいと思うかもしれないが、普通以上に心配してみて欲しい。営利目的の生体情報収集は、この10年間で驚くほど正規化した。Appleが日常的にユーザーの指紋をスキャンするというアイデアは、かつては驚くべきものだった。今では銀行アプリやノートPCのロックを解除する方法として―もちろん顔認証で解除しない場合だが指紋が使われている。生体情報収集が主流になったのだ。

FaceIDや指紋認証などの機能が採用されてきたのは、それらが特に便利だからだ。パスコードがなくても問題がない。

企業やビジネスがこれを理解し、今では生体情報収集を採用する2大理由の1つが利便性となっている（もう1つは公共の安全のためだが、これについては後ほど説明する）。迅速な生体情報のスキャンによって、物事が迅速で容易になると言われている。

英国では最近、給食費の支払いに顔認証を導入し、時間短縮を図っている。しかし、データプライバシーの専門家や保護者の反発を受け、結局いくつかの学校はこのプログラムを中止することになった。彼らの主張によれば、どこかのサーバーに蓄積された幼い子どもたちの顔のデータベースを丸ごと利用することに対し、利便性はまったく見合わない。そして、彼らはまったく正しい。

音楽は耳に、チケットは手のひらプリントに

2022年9月、米国のチケット販売会社AXSは、印刷物や携帯電話上のコンサートチケットに代わるオプションとして、レッドロック野外劇場でAmazon Oneの手のひら認証システムを使用するプログラムを発表した（その後数カ月で他の会場にも拡大する予定だった）。この決定は、プライバシーの専門家とミュージシャンの両方から直ちに抵抗を受けたが、これはライブ音楽業界における生体情報収集をめぐる最初の火種ではまったくない。

2019年、大手プロモーターのLiveNationとAEG（コーチェラ・フェイスティバルなどの大型フェスティバルをコーディネート）は、ファンやアーティストからの世論の反発を受け、コンサートでの顔認証技術への投資・導入計画から手を引いた。

しかし、ライブエンターテインメントにおける生体認証の利用をめぐる争いは、まだ決着がついていない。コロナウイルスの大流行によって、満員のスタジアムに依存するプロスポーツの経営者たちは振出しに戻り、新しい計画に大量の顔認証を取り入れることが多くなった。顔がチケットの代わりになり、表向きは誰もがウイルスから安全に守られることになる。

このような経営者たちの決意は固い。オランダのサッカーチーム、アヤックス・アムステルダムは、当初データ保護規制当局によって中止された試験的な顔認識プログラムの再導入を目指している。アヤックスの本拠地アムステルダム・アレナで最高イノベーション責任者を務めるHenk van Raan（ヘンク・ヴァン・ラーン）氏）は、ウォールストリートジャーナルの記事に引用によると「このコロナウイルスの大流行を利用して、ルールを変えることができればいい。コロナウイルスは、プライバシー（に対するどんな脅威）よりも大きな敵だ」と語っている。

これはひどい理由だ。プライバシーに降りかかるリスクは、ウイルスに対するリスクによって軽減されるものでは決してない。

同じ記事の中で、顔認識技術のTruefaceのCEO、Shaun Moore（ショーン・ムーア）氏は、プロスポーツの経営者との会話について、識別情報の受け渡しについてははぐらかし、チケットのバーコードをスキャンする際にウイルス感染の危険性があることを理由にタッチポイントに強くこだわっていると述べる。

チケットをスキャンする際の危険性については強引な主張であり、伝染病学者でなくとも言えることだ。大勢の人が叫び合い、歓声を上げることが主なイベントであるなら、担当者がチケットをスキャンするときの一瞬のマスク付きの交流など、心配するほどのことではないだろう。安全性の主張が崩れれば、利便性の主張も崩れる。単純な事実として、モバイルチケットを手のひらに置き換えたからといって、私たちの生活が飛躍的に、そして有意義に良くなるわけではない。認証にかかる+5秒は無意味なのだ。

ヴァン・ラーン氏がパンデミックを利用してプライバシー保護や懸念を覆すことを直接的に語っているのは興味深い。しかし、彼の理論は恐ろしく、欠陥がある。

確かにコロナウイルスは現実の脅威ではあるが、それは「敵」ではない。具現化しているわけでもなく、動機があるわけでもない。ウイルスなのだ。人間の手には負えない。保険用語でいうところの「天災」だ。そして、それが人間のコントロール下にあるものを正当化するために使われている。公共の安全や利便性のためと称して生体情報収集が大幅に増加している。

公共の安全と自由な社会

公共の安全は、しばしば生体認証による監視の強化が強要される原因となっている。8月、米国の議員たちは、飲酒状態での車の発進を防ぐために、新車にパッシブ技術を搭載することを自動車メーカーに義務付ける法案を提出した。この「パッシブ」技術は、眼球スキャン装置や飲酒検知器から、皮膚を通して血中アルコール濃度を検査する赤外線センサーに至るまで、あらゆるものを網羅する。

確かに、これは一見すると立派な動機のある大義名分である。米国運輸省道路交通安全局は、飲酒運転による死者は年間1万人近くに上ると推定しており、欧州委員会もEUについて同様の数字を挙げている。

しかし、そのデータはどこに行くのだろうか？どこに保存されているのだろうか？誰に売られ、何をするつもりなのだろうか？プライバシーのリスクはあまりにも大きい。

パンデミックは、大量の生体データ収集の導入に立ちはだかる多くの障害を消し去った。このやり方を続けることが許されていると、結果は市民の自由にとって悲惨なものとなるだろう。監視の強度は記録的な速さで高まっており、政府や営利企業は私たちの生活や身体に関する最もプライベートな些細なことにまで口を挟むようになっている。

モバイルチケットは十分な監視だ。何しろ会場に入ったことを正確な時刻とともにシステムに知らせるのだから。壊れていないのなら、直さなくていい。そして、病原菌を撒き散らさないためという危うい口実で、生体情報収集を追加するのはやめるべきだ。

生体情報はできるだけ渡さないに限る。GoogleやAmazonが基本的人権や市民的自由に関してひどい記録を持っていることを考えると、これらの企業に生体情報データを渡さないことだけでは十分ではない。

典型的な巨大ハイテク企業と関係のない小さな会社は、それほど脅威ではないように感じるかもしれないが、騙されてはいけない。AmazonやGoogleがその企業を買収した瞬間、彼らはあなたと他のすべての人の生体認証データを一緒に手に入れることになる。そして、私たちは振り出しに戻ることになる。

安全な社会は、監視の厳しい社会である必要はない。私たちは何世紀もの間、ビデオカメラを一台も使わずに、ますます安全で健康的な社会を築いてきた。安全性以上に、これほど詳細で個別化された厳重な監視は、市民の自由を重んじる社会にとって脅威となる。

結局のところ、これが行き着く所なのかもしれない。自由で開かれた社会にはリスクがつきものだ。これは間違いなく、啓蒙主義以降の西洋政治思想の主要な信条の1つである。しかし、そのリスクは、厳重に監視された社会で生活するよりもはるかにましだ。

言い換えれば、私たちが向かっている生体情報の格子から逃れることはできない。今こそ、不必要な生体情報収集、特に営利企業が関与する生体情報収集を規制し、排除することによって、この流れを止めるべき時なのだ。

編集部注：本稿の執筆者Leif-Nissen Lundbæk（ライプニッセン・ルンドベック）氏はXaynの共同創設者兼CEO。専門はプライバシー保護AI。

画像クレジット：SERGII IAREMENKO/SCIENCE PHOTO LIBRARY / Getty Images

［原文へ］

（文：Leif-Nissen Lundbæk、翻訳：Dragonfly）