タグ: サイバー攻撃 / サイバーセキュリティ（用語）

米国商務省は、人権侵害をはじめとする悪質なサイバー活動を抑制するため、権威主義政府へのハッキングツールの輸出を禁止すると発表した。

ワシントンポスト紙が最初に報じ、その後商務省が確認したこの規則は、国家安全保障上の理由から、中国やロシアなどの懸念国へのハッキングソフトウェアや機器の輸出や転売を、同省産業安全保障局（BIS）のライセンスなしに事実上禁止するものである。

これは、バイデン政権が3月に中国とロシアへの国家安全保障上の強硬姿勢を継続するために、先進半導体や情報セキュリティのための暗号化を用いたソフトウェアなど、米国の技術の輸出を制限したことを受けた動きだ。

今回の制裁は90日後に発効する予定で、イスラエルのNSOグループが開発したスパイウェア「Pegasus」などのソフトウェアが対象となる。このスパイウェアは、いくつかの権威主義的な政府が、ジャーナリスト、活動家、政治家、企業経営者など、最も声高な批判者の携帯電話をハッキングするために使用してきた。

関連記事：45カ国と契約を結ぶNSOのスパイウェアによるハッキングと現実世界における暴力の関連性がマッピングで明らかに

一方、サイバー防衛を目的としたソフトウェアについては、米国のサイバーセキュリティ研究者が海外の研究者と共同研究を行ったり、ソフトウェアメーカーに欠陥を開示したりすることを妨げるものではないため、輸出許可が免除される。BISが2015年に初めてこの規則案を発表した際には、300件近くのコメントが寄せられ、正当なサイバーセキュリティの研究やインシデント対応活動に与える影響について「大きな懸念」が示された。

この規則により、米国は、軍事的安全保障・デュアルユース（軍民両用）技術に関する自主的な輸出管理方針を定めたワッセナー・アレンジメント（Wassenaar Arrangement）に加盟する欧州の42カ国および同盟国と足並みを揃えることになる。

Gina M. Raimondo（ジーナ・M・ライモンド）商務長官は次のように述べている。「米国は、多国間パートナーと協力して、サイバーセキュリティや人権を脅かす悪意のある活動に使用される可能性のある特定の技術の拡散を抑止することに尽力しています。特定のサイバーセキュリティ品目に輸出規制を課す商務省の暫定最終規則は、悪意のあるサイバーアクターから米国の国家安全保障を守ると同時に、合法的なサイバーセキュリティ活動を確保する、適切に調整されたアプローチです」。

2020年、ロシアに起因するSolarWindsハッキングの最初の被害者の1つとなった商務省は、この規則について45日間、一般からのコメントを募集する。同省はコンプライアンスの潜在的なコストと、合法的なサイバーセキュリティ活動に与えうる影響についてのコメントを求めている。規則が最終的なものとなるまでには、それからさらに45日間の修正期間が設けられている。

画像クレジット：Jack Guez / Getty Images

［原文へ］

（文：Carly Page、翻訳：Aya Nakazato）

Kaseya（カセヤ）やTravelex（トラベックス）、JBSなどへのサイバー攻撃で悪名高いロシア関連のランサムウェア犯罪組織「REvil（レヴィル）」は、Tor（トーア）で公開していた支払いポータルとデータリークブログが乗っ取られたとした後、再び姿を消した。

REvilは2021年7月、Kaseyaを標的にした攻撃により数千の企業をランサムウェアに感染させた後、米国政府から激しく非難され、しばらく沈黙していたが、9月に突然復活。しかし、それからわずか数週間で再びサイトを閉鎖した。この閉鎖のニュースは最初、REvilに所属していることが知られている脅威アクターが、ある有名な犯罪フォーラムに投稿したもので、サイバーセキュリティ企業Recorded Future（レコーデッド・フューチャー）のDmitry Smilyanets（ミトリー・スミリヤネッツ）氏によって発見された。

この脅威アクターによる投稿では、REvilのTorサービスが乗っ取られ、おそらく以前バックアップされたと思われるグループの秘密鍵のコピーに置き換えられたと述べている。「サーバーが危険にさらされ、彼らは私を探していた」と、投稿には書かれている。「正確にいうと、彼らはtorrcファイル（Torサービスの設定に使われる）の中にあった私の隠れたサービスへのパスを削除し、自分たち自身のサービスを立ち上げ、私がそこへ行くように仕向けている。他の人にも確認したが、そうなってはいなかった。みんなの幸運を祈る。私は行くよ」。

REvilのTorサイトが乗っ取られたと思われる状況（記事掲載時）。（ 画像クレジット：TechCrunch）

本稿執筆時点では、誰がREvilのサーバーを乗っ取ったのかは明らかになっていない。9月のWashington Post（ワシントン・ポスト）の報道によると、7月にKaseyaの攻撃で被害を受けた企業のために、FBIはREvilの暗号鍵を入手していたが、REvilが姿を消してしまったため、FBIが計画していたテイクダウンは実現しなかったという。また、長らくグループのスポークスマンを務めていた「Unkn（アンノウン）」と呼ばれる元グループメンバーが乗っ取った可能性を指摘する声もある。Unknは、9月にグループが再び姿を現した際にも戻ってこなかった。

「彼がいなくなった理由が確認できなかったため、我々は彼が死んだと思って仕事を再開した」と、この脅威アクターはフォーラムの投稿で説明している。「しかし、モスクワ時間の10月17日12時から誰かが我々と同じ鍵でランディングとボグの隠しサービスを持ち出したので、私の不安は尽きなかった」。

マルウェアのソースコードやサンプル、論文などを掲載しているウェブサイト「VX-Underground（VXアンダーグラウンド）」は、REvilのドメインキーを持っているのはUnknとフォーラムに投稿している脅威アクターだけであり、このランサムウェアグループのドメインは最近、Unknのキーを使ってアクセスされたと、ツイートしている。

McAfee（マカフィー）によると2021年の第2四半期に検出されたランサムウェアの大半に関連していたというREvilが、完全に消滅したかどうかはまだわからない。しかし、9月に突然復活して以来、このグループはユーザーの獲得に苦労しており、新たな脅威アクターを誘うために参加報酬の引き上げを求められている。

画像クレジット：Bryce Durbin / TechCrunch

［原文へ］

（文：Carly Page、翻訳：Hirokazu Kusakabe）

日本の大手テクノロジー企業Olympus（オリンパス）は、先の週末にサイバー攻撃を受け、米国、カナダ、ラテンアメリカのITシステムを停止せざるを得なくなったことを認めた。

オリンパスはウェブサイト上の声明で「10月10日に検知されたサイバーセキュリティ事件の可能性を調査中」であり「現在、この問題を解決するために最優先で取り組んでいます」と述べている。

関連記事：オリンパスがランサムウェア「BlackMatter」の攻撃を受ける

「調査と封じ込めの一環として、影響を受けたシステムを停止し、関連する外部パートナーに報告しています。現在の調査結果によると、この問題はアメリカ大陸に限定されており、他の地域への影響は確認されていません」。

「当社は、この状況について適切な第三者と協力しており、今後もお客様やビジネスパートナーに安全にサービスを提供するために必要なあらゆる手段を講じていきます。お客様やビジネスパートナーを保護し、当社への信頼を維持することは当社の最優先事項です。当社の調査は継続中であり、透明性の高い情報開示に努め、新たな情報が得られた場合には最新情報を提供していきます」。

これは、2021年9月にオリンパスが欧州・中東・アフリカのネットワークへのサイバー攻撃を受けて発表した声明とほぼ同じ内容だ。

攻撃を受けた当時、オリンパスは「サイバーセキュリティ事件の可能性を調査中」とも述べている。この事件を知る人物がTechCrunchに語ったところによると、オリンパスはランサムウェアの攻撃から回復していたという。感染したシステムに残された身代金のメモは、ランサムウェア・アズ・ア・サービス（ransomware-as-a-service）グループ「BlackMatter」にも関連していた。

Emsisoftのランサムウェア専門家で脅威アナリストであるBrett Callow（ブレットキャロウ）氏は、今回の事件が週末に発生したことを受けてギャングがランサムウェアを展開するのは休日を含むことが多いため、繰り返し攻撃を受ける可能性が高まるという。「ランサムウェアだとしても、それがまたBlackMatterであるかどうかはわかりません。また、もしランサムウェアだとしたら、それがBlackMatterであるかどうかはわかりませんが、その可能性もありますし、EMEA地域への攻撃を行った組織が、今回は別のランサムウェアを使用した可能性もあります」。

オリンパスの広報担当者であるSusan Scerbo（スーザン・セルボ）氏からは、コメントを得られていない。オリンパスのセキュリティ事件についての詳細がわかり次第、更新する。

画像クレジット：Filip Radwanski / SOPA Images / LightRocket / Getty Images

［原文へ］

（文：Carly Page、翻訳：Katsuyuki Yasui）

米国で新たに提出された法律案は、ランサムウェアによる身代金の支払いを行った場合、取引から48時間以内に開示することを同国の企業に義務付けるものだ。

Elizabeth Warren（エリザベス・ウォーレン）上院議員とDeborah Ross（デボラ・ロス）下院議員が起草したこの「Ransom Disclosure Act（身代金開示法）」は、（個人ではなく）企業や組織を対象とするもので、要求された暗号資産の金額や種類、支払った金額など、ランサムウェアの支払いに関するデータを米国土安全保障省に提供することを義務付ける。

この法案は、サイバー犯罪者の活動に対する米国政府の理解を深め、ランサムウェアによる脅威の全体像を把握するために役立てることを目的としている。身代金の支払いは一般的にbitcoin（ビットコイン）で行われるが、セキュリティ専門家によると、脅威アクター（犯行者）はMonero（モネロ）などの「プライバシーコイン（匿名通貨）」を利用する傾向にあり、捜査当局が資金の流れを追跡することを困難にしている。

また、この身代金開示法では、国土安全保障省にも、組織や企業が身代金の支払いを自主的に報告するためのウェブサイト設置を求めるとともに、支払いを行った組織の識別情報を除き、前年中に開示された情報を共有することを要求する。セキュリティ研究者による同様の取り組みはすでに行われている。

関連記事
・ランサムウェアの問題を可視化するクラウドソースの身代金支払い追跡サイト「Ransomwhere」
・ランサムウェアが企業に与える莫大な金銭的被害は身代金だけじゃない

ウォーレン上院議員は、ランサムウェアによる攻撃が「急増」していることから、こうした対策が必要だと述べている。2020年、北米でのサイバー攻撃は158％増加しており、世界中の被害者が支払った身代金は3億5000万ドル（約390億円）近くにのぼり、2019年に比べて300％以上増加していることがデータによって示されている。

さらに、最近の調査によれば、身代金の支払い自体はランサムウェア攻撃によって受けた被害の総額のうちわずか20％に過ぎず、企業は生産性の低下や攻撃後の復旧作業によって、はるかに大きな損失を被っていることがわかった。

「サイバー犯罪者を追及するための重要なデータが不足しているのです」と、ウォーレン氏はいう。「私がロス議員と共同で提出した法案は、身代金が支払われる際の情報開示義務を定めるもので、これによってサイバー犯罪者がアメリカの団体からどれだけの資金を吸い上げて犯罪に利用しているかを知ることができ、犯罪者を追跡するために役立ちます」。

米国がランサムウェアを取り締まるために採用する戦術はこれだけではない。

例えば、財務省は2021年9月、暗号資産取引所のSuex（スエックス）に対し、その取引総額の40％以上が悪質な行為に関連していたことが判明したため、身代金の支払いを助長する役割を果たしたとして、初の制裁を科すと発表した。さらに財務省は先日、米国の制裁対象国に拠点を置く脅威アクターへの支払いは禁止されていると、米国企業に警告を出した。

関連記事：米財務省の新たな制裁措置はランサムウェアグループによる現金化の阻止が目的

画像クレジット：Donat Sorokin / Getty Images

［原文へ］

（文：Carly Page、翻訳：Hirokazu Kusakabe）

2001年9月11日朝。米国の成人のほとんどは、自分がその時どこにいたかを鮮明に覚えているだろう。筆者はホワイトハウスのウェストウィング2階で、米国国家経済会議のスタッフ会議に出席していた。シークレットサービスが突然部屋に入ってきて「すぐに部屋を出てください。ご婦人方はハイヒールを脱いで！」と叫んだことは忘れられない。

そのちょうど1時間前、私は全米経済会議のホワイトハウス技術顧問として、9月13日にオーバルオフィスで予定されている大統領との会談に向けて最終的な詳細を副参謀長に説明していた。そして、米国政府のプライバシー保護法案を議会に提出するために、大統領のサインを得る準備が整った。カリフォルニア州のプライバシー保護法の国家版ともいえるこの法案は、それよりも強力で、情報を共有する際には対象となる市民の選択による同意を得て市民のデータを保護するなど、データの収集方法や使用方法を規定するものだった。

しかし、その日の朝、世界は一変した。私たちはホワイトハウスから避難し、その日は悲劇に次ぐ悲劇が発生した。米国、そして世界中に衝撃が走った。あの日、ワシントンD.C.にいた私たちは、悲しみ、連帯感、不信感、力強さ、決意、緊迫、そして希望など、人間の感情のすべてを目の当たりにし、自ら体験することとなった。

当日については多くのことが語られているが、筆者はその翌日のことを少し振り返ってみようと思う。

9月12日、オフィスに国家経済会議のスタッフが集まったとき、当時の上司であるLarry Lindsey（ラリー・リンゼイ、Lawrence Lindsey）が私たちに言った言葉を今でも覚えている。「今ここにいることを不安に思う人がいるかもしれません。私たちは全員が標的なのだから。愛国心や信仰心をアピールするつもりはありません。しかし、この部屋にいる皆が経済学者である以上、私はみなさんの合理的な自己利益に訴えます。今、私たちが逃げ出してしまえば、他の人たちも同じように逃げ出すでしょう。誰が私たちの社会の要を守ることができるでしょうか？私たちは国を守ります。この国の誇りとなるように行動してください。そして、安全と安心という自由への献身を放棄しないでください」。

9.11の悲劇に対して、国が一丸となったこと、そして米国政府の対応については多くのことを誇りに思っている。しかし、私はサイバーセキュリティとデータプライバシーの専門家として、まず、ラリーが言ったこと、その後の数年間で学んだ多くの重要な教訓、特に社会の要を守るということについて振り返りたい。

あの日の記憶は未だに鮮明だが、20年が経過し、9.11同時多発テロに至るまでの数カ月間にデータが果たした（果たさなかった）致命的ともいえる役割が解明されている。不幸なことに、すぐそばにあったはずの情報データはバラバラに保管されており、何千人もの命を救うことができたかもしれない点と点をつなぐことはできなかった。データのサイロ化によって、情報を安全に共有する仕組みがあれば見つけられたはずのパターンが見えなくなっていたのだ。

その後、私たちは「こんなことは二度とごめんだ」と自らに言い聞かせ、当局は、市民の自由だけでなくデータのセキュリティにも重大な影響を与えることを考慮せずに、収集できる情報の量を増やすことに邁進した。そして、CIAや法執行機関による20年間の監視要請が詰め込まれた愛国者法が施行された。司法省とともに愛国者法を交渉する場にいた私がはっきりと言えるのは、次のテロ攻撃を防ぎ、私たちの人々を保護するという意図は理解できるものの、その結果として広範囲に及んだ悪影響は明白であった、ということだ。

国内での盗聴や大規模な監視が当たり前になり、個人のプライバシーやデータの安全性、国民の信頼が少しずつ損なわれていった。これはデータプライバシーに対する危険な前例となったが、その一方で、このレベルの監視ではテロとの戦いにおいてわずかな成果しか得られなかった。

残念なことに、個人のプライバシー保護を強固にするはずであった、まさに9月11日の週に議会に提出する予定だった米国政府のプライバシー法案は、頓挫してしまった。

その後数年が経ち、大量の監視データを安価かつ簡単に収集・保管できるようになり、テクノロジー関連やクラウド関連の大手企業が急速に規模を拡大し、インターネットを支配するようになった。官民を問わずより多くのデータが収集されるようになり、個人の機密データが公に晒されるようになったが、このようなアクセスの拡大に対処できる、有効性のあるプライバシー保護措置は講じられなかった。

巨大なテクノロジー企業やIoTデバイスが、私たちの行動、会話、友人、家族、身体に関するデータポイントを集める20年後の現在、私たちは過剰なまでに野放図なデータ収集とアクセスに翻弄されている。原因がランサムウェアであろうとクラウドバケットの設定ミスであろうと、大規模で代償が大きいデータ漏えいでさえも新聞の一面で取り上げられないほど頻繁に発生している。この結果は社会の信頼の喪失だ。人権であるはずのプライバシーだが、それが守られていないことは誰もが知っている。

このことは、アフガニスタンでの人道的危機を見れば明らかだ。一例を挙げてみよう。連合軍を支援したアフガニスタン市民の生体情報データが入った米軍のデバイスがタリバンに奪われてしまった。このデータがあれば、タリバンは対象となる個人や家族を容易に特定し、追跡できる。機密性の高い個人情報が悪人の手に渡るという最悪のシナリオであり、私たちはそれを防ぐための十分な努力をしてこなかった。

決して許されることではない。20年経った今、私たちは再び「こんなことは二度とごめんだ」とつぶやいている。私たちは9.11の経験を、情報データをどのように管理、共有、保護したらいいかを再認識する機会とするべきだったが、未だにそれを正しく理解していない。20年前も現在も、データの管理方法は生死を決する。

進歩がないわけではない。2021年、ホワイトハウスと米国国防総省は、サイバーセキュリティとゼロトラスト（すべてが完全には信頼できないことを前提とする考え方）のデータ保護にスポットライトを当て、米国政府のデータシステムを強化する行動を促す大統領令を出した。私たちには、このような機密データを保護しながら共有もできるようにするために必要な技術がある、というのは良いニュースだろう。データが本来データを持つべきではない人の手に渡ることを防ぐ緊急時対応策も用意されている。しかし、残念なことに、私たちのアクションはまだ十分ではない。データの安全な管理という問題の解決が遅れれば遅れるほど、罪のない人々の命が失われていく。

私たちには、次の20年を見据えて信頼を回復し、データプライバシーの管理方法を変革する機会がある。何よりもまず、私たちは何らかのガードを設置することが必要だ。そのためには、個人に自分自身のデータ管理の自律性をデフォルトで持たせることのできるプライバシー保護の枠組みを構築しなければならない。

つまり、各個人による自らのデータの所有と管理を可能にするためには、公的機関や民間企業がIDとデータを結びつけ、データの所有権を各個人に戻すという技術的な裏方の作業を行う必要がある。簡単にできることではない……しかし、不可能なことではなく、米国市民、米国居住者、世界中の同盟国の人々を守るために必要なことだ。

このようなデータ保護の導入を促進するためには、相互運用性と柔軟性を備えた、無料でアクセスできるオープンソースソリューションのエコシステムが必要である。既存のプロセスやソリューションにデータ保護とプライバシーを重ね合わせることで、政府機関は、個人のプライバシーを損なうことなく、データを安全に収集・集計して全体像を明らかにすることができる。今の私たちはこのような技術がある。今こそそれを活用するときだ。

大量のデータが収集・保管されている現在、米国のデータが悪用される機会は格段に増えている。タリバンに奪われたデバイスは、現在危険に直面しているデータのごく一部に過ぎない。2021年に入ってからも、国家レベルのサイバー攻撃は増加の一途をたどっている。人命を脅かすこのサイバー攻撃は、決してなくなることはない。

2001年9月12日のラリーの言葉は、今でも心に残っている。今、私たちが手を引いたら、誰が社会の要を守れるだろうか。人々の自由を損なうことなく、プライバシーを守り抜くことができるかどうかは、官民のテクノロジーリーダーである私たちにかかっている。

まずはデータに対する国民の信頼を回復しよう。今からでも遅くはない。20年後、私たちはこの10年間を、個人のプライバシー権を保護・支持する上でのターニングポイントとして振り返ることになるだろうか。それとも、またしても「こんなことは二度とごめんだ」と思っているのだろうか。

編集部注：本稿の執筆者John Ackerly（ジョン・アッカーリー）氏はVirtru Corporationの共同創立者兼CEO。以前は、Lindsay Goldberg LLCの投資家、ホワイトハウスの技術政策アドバイザー、米国商務省の政策・戦略計画ディレクターを務めていた。

画像クレジット：Mark Rainwater/Eye Em / Getty Images

［原文へ］

（文：John Ackerly、翻訳：Dragonfly）