CIA「Vault 7」リークで明らかになったエクスプロイトの宝庫――何が漏えいし、私たちはどう備えるべきか

2017年3月7日、CIAが厳重に保管していた機密情報の膨大なデータベース「Vault 7(ヴォルト・セブン)」の漏えいが、世界中に飛び込んできました。この報道を受けてSNS上では大きな混乱が広がり、ロイターをはじめとする主要メディアがこぞって取り上げる中、CNNだけが奇妙にもこの話題を報じないという、思わず眉をひそめたくなる事態も発生しました。

WikiLeaksで公開されたVault 7の文書には、CIAが2013年から2016年にかけて収集・発見したハッキング技術やエクスプロイト(脆弱性攻撃手法)の巨大なデータベースが含まれています。各メディアはこの事実を報道の中心に据えていますが、その掘り下げは正直なところ、いまひとつ物足りないのが実情でした。

当然、読者の皆さんの頭には多くの疑問が浮かんでいることでしょう。本記事では、繰り返される報道の中で欠けていた情報を補いながら、それらの疑問にできる限り答えていきます。

Vault 7には何が含まれていたのか?

非常に気になる方は、リーク内容はすでに一般公開されているため、WikiLeaksのページですべての文書を閲覧することができます。

ここで特筆すべきは、今回のリークがVault 7の全容ではない可能性が高いという点です。ジュリアン・アサンジ氏は通常、入手した情報を一括ではなく分割して公開する傾向があります。これは、公開のたびに分析の時間を確保するとともに、数日で忘れ去られる「一発屋」的なニュースではなく、持続的なニュースの流れを作り出すためだと考えられます。あくまで推測にすぎませんが、今後も追加公開があるものと見て間違いないでしょう。

今回公開された文書は総計8,000ページを超えるボリュームにのぼります。そのため、詳細な分析が進むまでは、しばらく情報が断片的になることは覚悟しておきましょう。

文書の内容は複数のカテゴリとサブカテゴリに整理されており、その大部分はLinux、macOS、Windows、Android、iOSといったさまざまなOSの脆弱性を突く手法に関するものです。しかし、より深刻なのは「Weeping Angel(ウィーピング・エンジェル)」のようなプロジェクトです。文書を精査したところ、これはSamsung製F8000シリーズのテレビの脆弱性を悪用し、電源が切れたように見せかけた「待機状態」にしながらマイクを作動させ続け、テレビのある部屋での会話を盗み聞きするものだったようです。また、「HarpyEagle(ハーピーイーグル)」と呼ばれるプロジェクトは、Appleの無線ルーター「AirPort Extreme」でroot権限を取得することを目的として立ち上げられたものでした。

パニックになるべき?

ある意味では、そうかもしれません。Vault 7で明らかになっている内容の大半は、エクスプロイトへの参照や、攻撃作業を簡略化するツールの所在を示したものです。AppleはTechCrunchに対し、「今回リークした問題の多くは最新のiOSですでに修正済みだ」と回答しています(声明全文はこちら)。ただし同社はその後、「特定された脆弱性には引き続き迅速に対応していく」とも述べており、まだ修正されていない脆弱性が残っている可能性をほのめかしているようにも読めます。

iOSの話題ついでにもう一点、重要な指摘があります。Appleの声明は、Vault 7のエクスプロイト一覧がOSのバージョン別にきれいに整理されているという事実を考慮していません(実際の一覧を見れば一目瞭然です)。つまり、新しいバージョンのiOSをインストールできない旧モデルの端末を使っている場合、その端末は今回公になった脆弱性に永遠にさらされ続けることになります。

また、当サイトではVault 7で判明したAndroidの脆弱性についてGoogleにコメントを求めましたが、執筆時点で回答は得られていません。Googleの公式ブログにも、このリークに関する言及はまだ掲載されていません。

現時点で確かに言えるのは、意欲的なハッカーであれば、この情報を利用して新旧を問わずシステムに存在する脆弱性を突けるということです。

一方で、大きな「犠牲者」を出さずにこの騒動を乗り切れる可能性は高いでしょう。とはいえ、CloudbleedやHeartbleedのような「背景ノイズ」と同じ扱いで済ませられる話でもありません。「壊滅的」と表現するのは大げさかもしれませんが、どんなデバイスやOSを使っていても、一般ユーザーにとって十分に懸念材料となることは間違いありません。要するに、ハッキングの世界はこれからさらに面白くなりそうです。

こうした状況で個人ができる対策

残念ながら、今回リークされたエクスプロイトから自分のデバイスを完全に守るために、個人レベルでできることは多くありません。しかし、大切なデータであれば「エアギャップ化」によって保護できます。最も機密性の高い情報を、インターネットに一切接続していないコンピュータに保存すれば、遠隔からの干渉を受けない環境を作れます。

自宅のスマートデバイスについては、監視が心配なら、使用後はスイッチ付きのテーブルタップ(延長コード)で物理的に電源を遮断しておきましょう。さらに、使用しているすべてのOSに利用可能なアップデートを必ず適用し、開発者が今回明らかになった問題への対応を進める中で、さらなる更新を待つことが重要です。

このリークに関して他にアドバイスがあれば、ぜひコメント欄で教えてください!