ハッカーが暴いたテック巨人の脆弱性――マイクロソフト・任天堂サーバー侵入事件の教訓

サイバー攻撃は、世界中で頻繁に発生している深刻な問題です。私たちユーザーがハッカーから身を守るためにできることは限られており、多くの対策は技術やデバイスを開発する企業側に委ねられています。しかし、相次ぐ攻撃のニュースは、「結局は自分自身で守るしかない」という不安を抱かせずにはいられません。

どれほど大規模な攻撃が起きれば、テクノロジー業界の巨人たちは本気で危機感を抱き、サイバー犯罪者の一歩先を行く対策に乗り出すのでしょうか?

今回、注目を集めたのは誰?

今回はマイクロソフト、そして任天堂のサーバーが標的となりました。セキュリティ研究者として知られるザミス・クラーク(Zammis Clark)氏、通称「Raylee」または「Slipstream」こと当時24歳の男性が、両社のネットワークに不正侵入し、機密情報を盗んだ罪で有罪となりました。彼は木曜日、ロンドン刑事裁判所にてこれらの罪を認めています。

彼はどうやって侵入したのか?

このハッカーは2017年1月24日、社内用のユーザー名とパスワードを使ってマイクロソフトのサーバーへのアクセスに成功しました。さらにウェブシェルをアップロードすることで、最低でも3週間にわたりサーバーへ遠隔アクセスできる状態を作り上げます。その間、複数のシェルを設置し、社内ネットワーク内の検索、データのダウンロード、ファイルのアップロードまで自由に行えるようになっていたのです。この侵入により、なんと43,000件ものファイルが盗まれました。盗まれたファイルには、Windowsのプレリリース版(開発者向けベータコード)の機密コピーが含まれていました。

彼は固有のビルド番号に着目し、未公開のWindowsバージョンに関する情報を収集していました。さらに悪質なことに、マイクロソフトのサーバーから情報を盗むだけでなく、インターネットリレーチャット(IRC)経由でアクセス権を共有し、他の人物にも機密情報へのアクセスを許していたのです。この一連の侵入は、クラーク氏がマイクロソフトのネットワーク上にマルウェアをアップロードしたことがきっかけで発覚し、2017年6月に逮捕されました。

想像してみてください。もしマルウェアが検知されていなければ、この侵入はマイクロソフトの目の前で半永久的に続いていた可能性もあります。幸いユーザーデータは盗まれていませんでしたが、もし盗まれていたらどうなっていたでしょうか?

しかし、話はこれで終わりではありません。彼は保釈された際、コンピューターの使用制限さえ受けていなかったため、その隙を突いて2018年3月、今度は任天堂のサーバーへのハッキングを実行しました。今度はVPNを駆使して、同社の極めて機密性の高いゲーム開発サーバーへアクセス。少なくとも2,365件のユーザー名とパスワードを盗み出し、任天堂が異変に気づく2018年5月までの数ヶ月間、侵入を続けていたのです。

実は、このハッカーの犯行はこれだけではありません。不可解なのは、最初に逮捕された時点で、なぜ彼をブラックリストに登録し、厳重な監視下に置かなかったのかという点です。それこそが最低限取るべき対応ではないのでしょうか?

もちろん、このハッカーは自らの罪に対して相応の刑罰を受けることになりました。これが他の犯罪予備軍への警告になれば良いのですが、私が問いたいのは、あらゆるテック・IT大手企業に対してです。なぜ最初から、こうした軽率な人間に付け入る隙を与えてしまうのでしょうか?私たちユーザーにとって、あなた方がこそ信頼できる存在であってほしいのです。

自社のサーバーすら安全に保てないのなら、収集したユーザーデータをどうやって守れるというのでしょうか?

すべてのIT大手企業に対し、インターネットセキュリティの強化と、情報漏洩につながりうるすべての抜け穴を塞ぐことを強く求めます。