- 日本の認証局GlobalSignは、米国およびEUの制裁措置を実施するため、2026年6月にロシアの数千のドメイン向けTLS証明書を失効させました
- この結果、ロシアの主要銀行7行は、主要ブラウザのいずれからも信頼されていない国家発行のルート証明書を使用せざるを得なくなり、利用者は手動でのインストールを強いられています
- ウクライナ対外情報庁は、こうした損失によりロシアの銀行システム、メール、内部システムがより攻撃されやすい標的になっていると指摘しています
ロシア企業は現在、極めて厳しい状況に置かれています。米財務省外国資産管理室(OFAC)とEUの制裁措置が、サードパーティ提供者が発行する国際的なセキュリティ証明書にまで影響を及ぼすようになっているのです。
ウクライナ対外情報庁が8月12日に発表した声明によれば、証明書の失効により、国際的に認められた証明書がドメイン向けに発行されなくなったことで、ロシアの内部システム、メール、銀行システムが事実上、攻撃に対して無防備な状態に置かれているといいます。
同庁は、連邦税務局を含むロシアの国家系サービスがChrome、Firefox、Safariで読み込めなくなるケースが増えていると指摘し、ロシア市場のおよそ90%が依然として海外発行の証明書に依存していると推計しています。また、こうした制裁措置が広く実施されれば、利用者が対象サイトにアクセスしにくくなる可能性があるとしています。
制裁によって失われるウェブの信頼性
事態の発端は2026年6月13日、ロシアの商業向け海外証明書市場の大半を握る日本の認証局GlobalSignが、これまでロシア企業に発行していたTLS証明書を強制的に失効させたことでした。
GlobalSignのロシア現地法人は、親会社の決定に影響を及ぼすことはできなかったと説明しています。この決定は、5月4日から適用されたCA/Browser Forumの新規則に基づくもので、この規則により、認証局が申請者を米国OFACおよび米商務省産業安全保障局(BIS)のリスト、さらに欧州の制裁リストと照合して審査することが任意ではなく義務となり、証明書提供者の裁量の余地が事実上なくなりました。
失効措置は2波に分けて実施されました。第1波では推定15,000から20,000のドメインが影響を受け、第2波では、Rosneft、Gazprombank、Alrosa、Positive Technologiesといった国内大手企業を含む、44社にまたがる310ドメインという、より限定的な対象が影響を受けました。
ウクライナ側は、ロシアの内部システム、メッセンジャー、メール、銀行APIが「ハッカー攻撃の格好の標的」になったと強く主張しており、ロシア側で既に対策が進められているとはいえ、その指摘には一理あります。同庁の推計では、インフラの再構築には大企業の場合1,000万から5,000万ルーブルものコストがかかり、最長6カ月を要する可能性があるとしており、しかもこの作業はミスが起こりやすいといいます。
ロシアの銀行や税務当局を含むドメイン保有者たちは、他の選択肢に活路を求めています。一部はまずギリシャの学術認証局HARICAに移行し、その後、現在ロシアの国家機関に証明書を提供している中国のTrustAsiaへと乗り換えています。
ロシア側のより複雑な打開策として、政府が推進を続ける自国製の代替策があります。それは、利用者が手動でインストールしなければならない国家発行のルート証明書です。ロシアのデジタル発展省は、この国家ルート証明書の手動インストールは「安全」であり端末の機能に影響を及ぼすことはないと説明していますが、セキュリティ研究者らは2022年に既に警鐘を鳴らしており、2026年にも再度、国家が管理するルート証明書は「HTTPS通信の傍受や中間者攻撃」に悪用され得ると警告しています。
モスクワ側のもう一つの推奨策は、国産ルート証明書があらかじめ組み込まれたYandex Browserへの乗り換えです。ウクライナ側の見解はこれを一蹴しており、フリーズやキャッシュ障害を起こしやすく、意味のあるデータ保護も提供しないとしています。この評価は「ロシア国内の専門家」によるものだとしています。
.RUドメインを巡る短期的な結末がどうなるにせよ、こうした動きはロシアを世界の他の地域からさらに孤立させかねません。国家ルート証明書をインストールしたロシア製ソフトウェアを使う利用者に限って、ロシアのサービスが問題なく機能するという状況になる可能性があります。
サイバー攻撃と制裁措置に揺さぶられ続けるロシアにとって、これは既定路線とも言える方向性かもしれません。しかし、今回の証明書失効が、意図的か結果的かはさておき、その到達までの時間をさらに縮めることになるのは間違いないでしょう。
