知らない間にあなたは監視されている――日常生活に潜む5つのスパイ行為とその対策

スーパーに入店した瞬間、天井のカメラがあなたの顔を企業のサーバーへ送信し、顔認証分析にかけているとしたら?SNSにログインしたとき、パソコンに仕込まれたキーロガーがパスワードを外部の組織へ密かに送り届けているとしたら?映画のワンシーンのように聞こえるかもしれませんが、実はこうした出来事は、私たちの身近で日常的に起こっている可能性があるのです。

多くの人は、店舗での買い物、ATMでの現金引き出し、あるいは街を歩きながらのスマートフォン通話など、生活のあらゆる場面でほぼ毎日何らかの形で監視されていることに気づいていません。

自分を守るための第一歩は、現実に存在する監視の脅威を正しく理解すること。そして第二歩として、それらへの予防策を講じることです。本記事では、知っておくべき5つの監視リスクと、それぞれの具体的な対策をご紹介します。

1. 顔認識技術

消費者監視の世界に異変が生じた最初の兆候は、2013年11月にさかのぼります。英紙ガーディアンが、英国小売大手テスコがマーケティング目的で「OptimEyes」と呼ばれる高度な顔スキャン技術を導入したと報じたのです。

このシステムの狙いは、店舗に設置された一般的な防犯カメラとは大きく異なっていました。ガソリンスタンドを利用する顧客の目元をスキャンして年齢や性別を判定し、スタンド内のスクリーンにターゲット広告を配信するというものです。

その後、こうした技術の活用範囲はさらに拡大しています。「FaceFirst」のような企業は、小売業者向けに高度な顔認識技術を提供し、万引きの常習犯を特定して店長に警告できるようにしています。同時に、優良なリピーター顧客を認識してVIP待遇を提供することで、再来店を促す用途にも使われています。

小売業にとって有望な技術である一方、消費者やプライバシー保護団体にとっては深刻な懸念材料です。2012年には、米消費者連盟(Consumers Union)が連邦取引委員会(FTC)宛ての公開書簡の中で、この技術が小売・広告業界にとって非常に有用である一方、消費者に重大なプライバシー問題をもたらしうると指摘しました。

「ショッピングモール、スーパーマーケット、学校、医院、市街の歩道に顔認識装置が遍在すれば、個人が抱く匿名性への期待は深刻に損なわれるだろう。」

同団体はさらに、子どもをターゲットにした広告が児童肥満問題を悪化させる恐れがあること、ティーンエイジャー向けのダイエット製品広告が思春期の自尊心の問題を助長しかねないことも指摘しています。最も深刻なのは、企業がこうした監視情報や購買行動データを収集・保存することを禁じる明確なガイドラインが存在しないという事実です。

「顔検出・顔認識ソフトウェアは消費者に多くの具体的なメリットをもたらす。しかし同時に、これらの技術が重大なプライバシーリスクを伴い、匿名性に対する消費者の権利を著しく脅かす事実は無視できない。」

次に買い物に出かける際は、頭上のカメラがあなたの一挙一動を追っているかもしれないことを、思い出してみてください。

2. ウェブカメラへの不正アクセス

2014年5月、米当局は「Blackshades」と呼ばれる組織のメンバー90人を逮捕しました。この組織は、Windowsパソコンに侵入してウェブカメラを遠隔操作できるソフトウェアを開発・販売していたのです。大学生の一人は、このソフトを使ってミス・ティーンUSAのヌード写真を撮影した容疑で逮捕されました。

心配する価値があるのか疑問なら、次の事実を考えてみてください。この組織は数千コピーを販売して35万ドルの売上を記録し、2010年以降、100か国・約70万人が被害者になったと推定されています。ウェブカメラがハッキングされることは、本当にあり得るのです。

恐ろしいのは、標的がウェブカメラだけではない点です。攻撃者はキーストロークやパスワードを盗み見たり、画面を撮影したり、パソコン内のファイルにアクセスしたりできます。唯一の救いは、被害者自身が悪意のあるリンクをクリックし、不正ソフトウェアをインストールさせられる必要があるという点です。フィッシングメールを見分ける目を養い、不審なリンクをクリックしなければ、この脅威から身を守れる可能性は高まります。

簡単に防げるように思えますよね?ところが、そうとも限りません。

2014年12月、英紙テレグラフのライター、ソフィー・カーティス氏は、セキュリティ企業Trustwaveに勤める「ホワイトハッカー」の友人ジョン・ヨー氏に、自分のパソコンへの侵入を試みてもらいました。ハッカーたちはオンライン上で彼女に関する情報を徹底的に収集し、最終的には偽メールを作成。彼女はそれをクリックしてしまい、ラップトップは即座に感染し、ウェブカメラを含むすべての情報にアクセスを許してしまったのです。自分は騙されないと思っている人ほど、油断できない好例といえるでしょう。

3. 偽基地局

2014年9月頃、全米各地で携帯電話の通信を傍受していると疑われる「偽基地局」の噂が浮上しました。モバイルセキュリティ企業Integricellのオーナーでもある調査担当者アーロン・ターナー氏によって、その存在が確認されています。

ターナー氏によれば、これらの不審な基地局は、携帯電話に「周辺で利用できるのはこの偽基地局だけだ」と思い込ませるよう設置されていたといいます。

「これらの基地局は、電話に『911緊急通報の情報をやり取りする必要がある』と認識させておきながら、実際には何もしないのだ。」

同氏によると、ペンシルベニア州やワシントンD.C.の中心部に集中していたこれらの基地局は、通信を「切り開いて」端末の状況を覗き見ることが可能だったといいます。

他の複数の調査者も偽基地局との「遭遇」を裏付けましたが、特定の場所に設置された実物の写真は一切出回りませんでした。この不審な「傍受」基地局が、すでに公衆の批判を浴びている大規模な政府監視プログラムの一環なのか、あるいは国際的な諜報活動の一部なのか、憶測が飛び交いました。

答えが判明したのは2か月後の11月です。ウォール・ストリート・ジャーナルが、司法省が「DRTBOX」と呼ばれる装置(通称「ダートボックス」)を飛行機に搭載し、空から偽の携帯基地局を運用していたと報じました。ボーイングの子会社Digital Receiver Technology製のこの装置は、携帯電話にとっては基地局に見え、「中間者攻撃」によって端末の登録情報を抽出します。

当局はこれらの航空機を都市部上空に飛ばし、できる限りの携帯電話情報を収集していたのです。

「航空機には、製造元であるボーイング社子会社の頭文字から法執行機関に『ダートボックス』と呼ばれる装置が搭載されている。大型通信事業者の基地局になりすまし、携帯電話を欺いて固有の登録情報を報告させるのだ。」

携帯電話の「ID」と位置情報を特定できれば、法執行機関は携帯を持つほぼすべての市民を追跡できます。米自由人権協会(ACLU)は、州・地方警察による「Stingray」装置の使用に関する公開資料を精査し、現在どの地域で使用されているかを示す地図を公開しました。

法律の整備が技術の進歩に追いつかない今、当局は抜け穴を最大限に活用してデータ収集を進めています。ACLUの調査ページでは、こうした取り組みとその隠蔽工作について詳しく知ることができます。もしあなたが地図上の該当地域に住んでいるなら、あなたの携帯電話のデータや位置情報が、すでに地方または州の法執行機関に収集されている可能性があります。

4. 国家ぐるみのサイバー攻撃

自分を監視しているのは自国の政府だけだと思ったら、それは甘えかもしれません。2014年10月下旬、ワシントン・ポストは、セキュリティ調査チームが「Axiom」と呼ばれる高度な中国系サイバースパイグループを特定したと報じました。同グループは、中国の国内・国際政策に関わるあらゆる情報を収集するため、西側諸国の政府機関を標的にしていたのです。

報道に先立つ10月中旬には、FBIが米国産業界に対し、米国企業や政府機関から機密情報や独自情報を収集しようとする高度な中国系ハッカーグループの活動に警戒するよう警告を発していました。

FBIによれば、この新しいグループは、セキュリティ専門家が以前に暴露した政府支援ハッカー部隊「人民解放軍第61398部隊」に続く、2つ目の国家支援ユニットです。Axiomグループは少なくとも4年以上活動しており、西側諸国の産業・経済的利益を重点的に標的にしています。

ここで重要なのは、厳重に保護された企業秘密を扱う大企業に勤めているなら、あなた自身がAxiomグループの標的になる可能性が十分にあるということです。同グループは、Microsoft Windows OSの「ゼロデイ脆弱性」を悪用します。これは最も難易度の高い高度なハッキング手法の一つです。従業員一人ひとりのパソコンを足掛かりに企業や政府機関へ侵入し、ネットワークやシステムへのアクセス権を奪取、最終的には機密性の高い産業秘密を手に入れようとするのです。

自分のパソコンなど標的になるはずがないと思うのは危険です。必ず社内のセキュリティ部門と連携し、セキュリティ規則やポリシーを真剣に遵守してください。

5. ビジネス会議・展示会での産業スパイ活動

会社から今年の業界カンファレンスへの参加を命じられたとしましょう。CESのような注目のテックイベントかもしれません。出張の荷造りで、仕事用のノートパソコン、会社支給のスマートフォン、そして重要ファイルの入ったUSBメモリを忘れずに持参する――ほとんどの人は、出張と最新技術の見学に胸を躍らせるあまり、自社の市場における競争優位性を危険に晒していることなど、一瞬も考えません。

なぜ危険なのでしょうか?出張中の会社所有のノートパソコン、スマートフォン、データのセキュリティ管理が不十分だからです。国際的な諜報組織は、従業員が出張中に最も脆弱になることを熟知しており、カンファレンスは産業情報収集の主要な標的となっています。

出張や会議への参加中には、数え切れないほどのセキュリティ上の弱点があります。産業スパイの犠牲者になる前に、以下のポイントを必ず頭に入れておきましょう。

• セキュリティが確保されていないホテルのネットワークでビデオ会議を行うと、機密情報の伝送を巧みなハッカーに盗み見られる恐れがあります。
• ホテルの客室からのノートパソコンやスマートフォンの盗難により、端末に保存された企業の独占情報が諜報員の手に渡る可能性があります。
• 公共の場で会社のノートパソコンを使用すると、背後から画面を覗き見される危険があります。
• 公共の場所で機密性の高い会社の案件について電話すると、近くに立っている誰かに会話を聞かれる可能性があります。
• 業界カンファレンスでのプレゼンテーションは、事前に適切な「クリーニング(機密情報の除去)」をしていないと、企業の機密情報を漏洩しかねません。

2014年、カール・ローパー氏は著書『Trade Secret Theft, Industrial Espionage, and the China Threat』の中で、中国の産業スパイ活動の一部が、カンファレンスで公開されるプレゼンテーションから技術情報を収集することに焦点を当てていると解説しています。

「複合材料、ミサイル、エンジニアリング、レーザー、コンピュータ、海洋技術、宇宙、マイクロエレクトロニクス、化学工学、レーダー、兵器、光通信といったテーマのカンファレンスは、中国が出席を試みる興味深い対象の一部にすぎない。こうしたカンファレンスから得られるデータは、彼らのプロジェクトへの最も重要な貢献となるだろう。」

公開プレゼンテーションの情報が企業秘密につながるかどうかは議論の余地がありますが、クリーニングが不十分(あるいは無検閲)な発表資料は、企業の営業秘密に関する大きな手がかりを偶然にも明かしてしまう可能性が非常に高いのです。

幸い、自衛手段はあります。会社のためにプレゼンテーションを行う場合は、必ず資料を広報部門または法務部門に提出して確認を受けましょう。外部向けのコミュニケーションを両部門またはどちらか一方の承認が必要とする企業もあります。これを怠ると、最悪の場合、仕事を失いかねません。

• ノートパソコン盗難警報装置やソフトウェアを活用し、置き忘れた場所から持ち去られた場合に周囲へ警告が発せられるようにしましょう。
• ノートパソコンは必ずロックし、保存データは適切に暗号化してください。これだけで盗難によるスパイ被害を大幅に減らせます。
• USBメモリを持ち歩く必要がある場合は、パスワード保護をかけたり、暗号化ソフトで保護したりしましょう。
• スマートフォンのロック画面セキュリティを強化してください。短いタイムアウト設定や強力な認証方法が有効です。
• ノートパソコンは、背後に立ったり座ったりして画面を覗き見できない場所で使用しましょう。常識のように思えますが、意外と多くの人が注意を払っていません。

意識しつつも、振り回されすぎないこと

日々受けている監視の実態を把握しても、常に誰かに聞かれているのではないか、メールを読まれているのではないか、位置を追跡されているのではないかと怯えて暮らす必要はありません。大切なのは、周囲の状況に常に気を配り、機密性の高い情報や個人的な情報を送信する際に、どんな技術をどう使っているかを意識することです。

機密情報を扱う場面で暗号化ツールを活用したり、パソコンのセキュリティ環境を大幅に強化したりすれば、政府による監視の試みさえも回避できます。

そして、あらゆる防御策を講じ終えたら、あとは心配を手放しましょう。自分を守るべき措置は講じたのだという確信のもとに、安心して日常を楽しんでください。