イランとの対立が激化する中、今月初めにThe Financial Timesが最初に報じた、イランが米軍関係者のスマートフォンを標的にしているという事実が明らかになりましたが、これは驚くことではありません。ウクライナ戦争では、ウクライナ側とロシア側の双方で、携帯電話から位置情報が漏れて兵士が殺害された事例が数多く報告されてきました。それでも、中東に展開する米軍将兵は、ヨーロッパのウクライナ兵やロシア兵と同じように、今後も携帯電話を使い続けることになるでしょう。
私がこう断言できるのは、一世代前のイラク戦争で、私自身が陸軍特殊部隊の通信担当軍曹として、部隊と司令部との連絡維持を任されていた経験があるからです。私はリュックサックに45キロ以上もの無線機材を担いでいましたが、それでも常にポケットには携帯電話を忍ばせていました。何万ドルもする通信機材があったにもかかわらず、電源を入れれば必ず作動すると信頼できたのは携帯電話だったのです。
あれから携帯電話はさらに進化し、軍隊での利用を含めて普及も進みました。商用の携帯電話網はほぼどこにでも存在し、信頼性が高く、私たちの生活に深く組み込まれています。機密通信機材の運搬を専任チームに任せられる立場にある米政府高官でさえ、個人のスマートフォンで機密性の高いやり取りをして問題になったことがあるほどです。
現代の戦争は、現代生活の他の側面と同様に、商用の携帯電話網に支えられています。これらは実によく機能しますが、敵対勢力による侵害も容易です。ウクライナがロシア国内深くまでドローンを飛ばし、ロシア自国の携帯電話網を利用して数十億ドル相当の軍用機を破壊した際、モスクワはこの教訓を痛感しました。しかし、ロシアが自国の携帯電話網を恒久的に遮断できないのは、私たちが自国の兵士に携帯電話の使用をやめさせられないのと同じことです。
イランによる電気通信網への攻撃は、それほど目新しいものでも独創的なものでもありません。イランが用いるSS7シグナリング攻撃に関する知見は、何十年も前から存在しています。連邦議会では与野党双方の議員が繰り返し警鐘を鳴らしてきました。2024年には、サイバーセキュリティ・インフラセキュリティ庁(CISA)の当局者が、「多数の」攻撃が成功し、位置情報の窃取、音声・テキストメッセージの傍受、スパイウェアの配信、さらには海外から送られるテキストメッセージによる米国有権者への影響工作まで行われたと報告しています。
シグナリング攻撃は、電気通信網が料金支払いの確認、位置情報の検証、通話・メッセージ・ウェブトラフィックの経路制御などに使うマシン間メッセージを悪用するものです。シグナリングは利用者からは見えない裏側で行われ、何十年にもわたって世界中の通信事業者同士をつないできました。いわば通信事業者専用のプライベートなシステムだと考えればよいでしょう。通信技術者がシグナリングを実現するプロトコルを設計したのは、限られた数の大手通信事業者だけがこのシステムに参加できた時代のことであり、そのセキュリティモデルには当時の名残がそのまま残っています。現在では数千もの事業体がこのシステムにアクセスできる状況にありながら、通信プロトコルは今も、そうした事業体から送られてくるシグナリングメッセージをすべて正当なものとして受け入れてしまうのです。
その結果、商用のリースを通じて、あるいは侵害された通信事業者を介して世界的なシグナリング基幹網へのアクセスを手に入れた攻撃者は、世界中の通信事業者が信頼できるものとして扱ってしまうメッセージを送信できてしまいます。これにより、攻撃者は標的の位置をリアルタイムで追跡したり、通話やテキストメッセージを傍受したり、偽の電話番号を使ったり、サービスを妨害したりすることが可能になります。前線に展開する兵士にとってこれが意味するのは、マルウェアのインストールもフィッシングリンクの送付も、端末に痕跡を残すことすら必要とせずに、敵対勢力が自分の日々の行動パターンとその変化を素早く分析できてしまうということです。
ではどうすればよいのでしょうか。電気通信網への攻撃が特に危険なのは、利用者自身がセキュリティ意識の向上や注意深さによって自分の身を守ることができない点にあります。位置情報の共有をオフにし、スマートフォンをロックダウンモードにしたとしても、電話として機能するためには携帯電話網に接続せざるを得ません。この仕組み自体が、敵対勢力に遠隔からのアクセスを許してしまっているのです。したがって解決策が求められるのは個々の利用者ではなく、業界、議会、そして国防総省です。
第一に、世界の通信業界は、審査の甘い第三者へリースするネットワークアクセスの管理を強化すべきです。標準化団体は、商用リースにおける透明性と安全策を義務付け、監視業務を行う事業者が正当な認証情報を取得できないようにすべきです。規制当局は不正行為を発見した場合、迅速に対処してそうした契約を打ち切るべきです。
第二に、連邦議会と規制当局は大手通信事業者に対し、防御態勢の強化を求めるべきです。現状では、事業者側には脆弱性を修正する動機がほとんどありません。米国の大手通信事業者はいずれも度重なる侵害に見舞われながら、実質的な責任を問われることはありませんでした。事業者に責任を果たさせるには、セキュリティ監査の結果を公表させ、ファイアウォールについて報告させ、年次の侵入テストを義務付けるべきです。中国政府による「Salt Typhoon」ハッキングが米国の大手通信事業者を襲った後、ロン・ワイデン上院議員とエリック・シュミット上院議員は、政府が各通信事業者のサイバーセキュリティ監査結果を入手するよう求めました。しかし通信事業者側はこれを拒否しました。この問題が業界に放置された結果として人命が失われている今、そのような回答は到底容認できません。
第三に、国防総省は将兵により安全性の高い携帯電話サービスを提供すべきです。携帯電話は今後も戦場から姿を消すことはなく、スパイウェアも利用者の過失も必要としないこの種の脆弱性は、訓練や手続きだけでは解決できません。この脆弱性に対応できる革新的な技術は存在するものの、私が以前指摘した通り、我々の兵士たちはそれらを利用できません。というのも、国防総省は2024年に最後の更新が行われた「Spiral 4」という10年間の包括契約によって携帯電話サービスを固定してしまっているからです。次により良いものへ切り替える機会は、2034年まで訪れません。
イラン、ロシア、中国のような技術力の高い敵対勢力と対峙するこの「つながった戦争」の時代においては、電気通信インフラの脆弱性はまさに生死に関わる問題です。私たちはこの問題を何十年も前から知っていましたし、業界、連邦議会、そして国防総省にはこれを解決する力があります。私自身、カーゴパンツのポケットに入れていたあの携帯電話がもたらす安心感と危険の両方を知っています。だからこそ私たちは、今の世代の兵士たちが頼りにしているこのネットワークを守らなければなりません。
