見逃したニュース: 機内Wi-Fiハッキングでデルタ航空便が混乱

今月上旬に開催されたBlack HatおよびDEF CONカンファレンスの後、ラスベガス発のデルタ航空便で何者かが機内Wi-Fiシステムに細工を加える事件が発生し、当局が対応に乗り出しています。

今回の「見逃したニュース(What We Missed)」では、Dark ReadingのRob WrightとAlex Culafiが、今週Dark Readingの誌面に掲載しきれなかった最近のニュースやトピックについて語り合います。二人が取り上げるのは、アトランタ行きデルタ航空591便で発生した事件です。ある乗客が機内のWi-Fiネットワークを、フィッシングページに誘導するとされる「Delta WiFi Fast」という名称の自前のネットワークに置き換えたことで、この便は混乱に陥りました。犯行の主体は不明で連邦当局が捜査中ですが、乗務員はすぐにDEF CON 34の参加者を疑ったといいます。

今回のエピソードでは他にも、サイバー犯罪組織への「ハックバック(逆襲)」を行う民間企業と契約を結ぶというトランプ政権の計画とそれに伴うリスク、Usenixサイバーセキュリティ会議で学術研究者らが実演した別の航空機ハッキング(機体のノーズコーンに仕込んだ小型ハードウェア実装によりボーイング737の飛行システムを侵害できるというもの)、そしてMetaのプラットフォーム上で詐欺や悪意あるリンクが急増する中、人気のオープンソース広告ブロッカーであるUBlock Originの開発者たちがFacebook広告のフィルタリングの取り組みを断念した件などが話題に上ります。

見逃したニュース(Rob Wright & Alex Culafi編): 全文書き起こし

Dark ReadingのRob Wright: こんにちは、Dark ReadingのRob Wrightです。

Dark ReadingのAlex Culafi: Dark ReadingのAlex Culafiです。

DRのRob Wright: 今回は「見逃したニュース」のコーナーです。Dark Readingの誌面や動画、ポッドキャストなどで取り上げきれなかったニュースやトピックについて語ります。今回も特に興味深いニュースをいくつか取り上げていきましょう。まずはAlexから。

DRのAlex Culafi: はい。

DRのRob Wright: デルタ航空の機内でのハッキング事件ですね。ラスベガス発アトランタ行きの便で起きたということですが、これはこの後の話とも関連してくるので触れておきましょう。突然、機内Wi-Fiシステムが無効化されるかジャミングされるかして、新たなWi-Fiシステム、つまりWi-Fiネットワークが出現したそうです。「Delta WiFi Fast」という名前だったと記憶していますが、私も知らなければクリックしていたかもしれません。この件、どう思いましたか。

DRのAlex Culafi: 正気の沙汰ではないと思いますね。DEF CON参加者がくだらないいたずらをするというのは以前からよくある話ですが、航空機の中でやるのは極めて愚かです。特に米国が航空便に関して抱えてきたデリケートな歴史を考えればなおさらです。犯人がやったのは、この偽のWi-Fiネットワークを作り、その裏側にGoogleのような見た目のフィッシングポータルを設置したということです。ただ、もしこれが悪意ある攻撃だったとしたら――多くの見出しはそう位置づけているようですが――やり方としては非常に愚かです。機内という限られた場所では、被害者の数もそれほど多くなりませんし、周囲にはセキュリティ研究者もいます。機内で法的なトラブルに巻き込まれるほど厄介なことはありません。おそらく犯人はDEF CONで普通に買えるWi-Fi Pineapple(不正アクセスポイント機器)を購入し、Wi-Fiポータルを設置して、認証情報を取得した――

DRのRob Wright: スニファーですね。そうです。

DRのAlex Culafi: スニファーです。GitHubから拾ってきたフィッシング用のログインポータルを、おそらく多少AIの力を借りて作り、「これをやったらどうなるだろう」という愚かな思いつきで実行したのでしょう。そして今頃、FBIが介入してきたことに相当びくびくしているはずです。あなたはどう思いますか。

DRのRob Wright: ええ、そして当局に通報したというのは当然の対応ですね。これは全般的に、ハッキングコミュニティやインフォセック研究コミュニティ、そして関連イベントの評判を落とすことになると思います。最後に一言付け加えるなら、これは機内で泥酔して座席にテープで縛り付けられ、セキュリティを呼ばれ、ゲートで当局に迎えられる羽目になる、あるいはもっと悪い場合はネブラスカ州リンカーンに緊急着陸させられる、といった話と何も変わりません。リンカーンに他意はありませんが、こうした事態としては最悪の結末ですし、もっと分別を持つべきです。では次の話題に行きましょう。

DRのAlex Culafi: はい。これも機内関連のニュースですが、倫理的にはある意味正反対の話です。最近、学術研究者らによる研究で、コイン大のWi-Fi対応デバイスを100ドル未満で自作できることが明らかになりました。このデバイスをボーイング737の保守用アクセスポートに差し込むことができるというものです。鍵穴のようなものではなく、パイロット席の下あたりにある何かのようですが、そこから飛行管理コンピューターを操作できてしまうとのことです。怖い話に聞こえますが、これは学術的な環境での実証実験であり、ボーイングにも報告済みで、ボーイング側は「誰かがこれを悪用する可能性は極めて低いと思われる」といった趣旨の回答をしたようです。個人的には、ボーイングにはこれよりもっと大きな懸案事項があるのだろうと感じます。あなたはどう思いますか。

DRのRob Wright: 私は悲観的な見方をしています。この記事はWiredに掲載されていたものですが、非常によくできた記事で、読み応えがありました。私はもともと物理的なセキュリティについてはあまり信頼を置いていません。サイバーセキュリティにばかり気を取られがちですが、実は誰かが滑走路をただ歩いて回り、オレンジや黄色のベストか何かを着て飛行機に近づき、いじり回すことだってできてしまうという点を見落としがちです。ですから、これを実行するのはそれほど難しくないと思います。

特に印象に残ったのは、もし誰かが実際にこれをやってのけ、しかも悪意を持って、便を人質に取って「制御システム、つまり機内のオートパイロットシステムを掌握した。大きな被害を与えることもできる。100万ドル、いや10億ドルを支払え」と言ってきたらどうなるか、という点です。それが本気の脅しなのか、それとも金を払うべきなのか判断を迫られる、非常に厄介な状況になるでしょう。航空会社が脅しをはねつけるとはとても思えません。とにかく、そんな新たなハッキングの道が開けるのではないかと想像してしまい、少し怖くなりました。

DRのAlex Culafi: ええ。ボーイングを擁護するつもりはありません。というのも、私自身、今ではボーイング機への搭乗をわざわざ避けているくらいですから。ただ、彼らの基本的な見解自体は擁護できる面もあると思います。というのも、これを犯罪目的で実行するには、そもそもコックピットに入り込む必要があるからです。もし悪意を持ってコックピットに侵入できるような人物であれば、この手法はいささか回りくどいやり方に思えます。理屈はわかりますが、同時に「またボーイングが問題を軽く受け流しているのか、驚きだね」とも皮肉りたくなります。

DRのRob Wright: ええ、確かに。

DRのAlex Culafi: 他には何がありますか。

DRのRob Wright: 米国政府が民間企業にハックバックを認める方針を打ち出したというニュースがあります。これはCybersecurity Diveの同僚Eric Gellerによる優れた記事でも報じられていましたが、トランプ政権が司法省(DOJ)と国土安全保障省(DHS)に対し、サイバー犯罪者に対するハックバックやその活動の妨害などを民間企業に委託・契約したいという趣旨のメモを出したというものです。あまり良いアイデアには思えませんが、Alexはどう思いますか。

DRのAlex Culafi: これまでのトランプ政権のサイバーセキュリティ関連の施策や戦略、発表の多くは、RFK[Jr.]の発言を聞いているときの感覚を思い出させます。つまり、一見同意できるようなことを言いながら、そこにとんでもない内容を抱き合わせてくるという点です。トランプ政権のサイバーセキュリティ関連の発表についても同じことを感じます。今回の件について言えば、要するに海外でのスパイ活動的なものを民間セクターに委託しようとしているわけですが、各企業に数百万ドル規模のエスクロー(供託金)を積ませようとしている点は理にかなっていると思います。これは良いアイデアだと思いますし、防衛関連企業のエコシステムを整備してこうした活動を担わせようという狙いも見えます。私自身は平和主義者なので、個人的にはこの種の活動自体は好みませんが、施策としては筋が通っているとは思います。ただ、既存のセキュリティベンダーにもこれを開放する可能性がある点は理解しかねます。責任の所在が完全に悪夢のようなことになると思います。あなたはどう思いますか。

DRのRob Wright: そうですね。この点については専門家の見解に委ねたいと思います。Black HatでCarole Houseによる優れたセッションを聴講したのですが、彼女はまさにこのテーマについて講演していました。確か「Cyberspace Pirates(サイバースペースの海賊たち)」というタイトルで、サイバー戦争のアウトソーシングについて論じていたと思います。彼女はAtlantic Councilのシニアフェローであり、Penumbra Strategies社のCEOでもありますが、要するに、企業がこうした活動を行う場合、そこには大きなリスクと責任が伴うと述べていました。つまり、政府がその活動を認可しているからといって、他国のクラウドインフラをハッキングして悪者を追い詰めるようなことをすれば、それは良い結果にはつながらないということです。当事者にとっても好ましくなく、責任を問われる可能性もありますし、法的な問題に発展する恐れもあります。ですから、もし自分が会社を経営していてこうした活動を行うとしたら、それ相応の対価を求めるでしょうね。それが私の率直な感想です。では最後に、Alex、何かありますか。

DRのAlex Culafi: 最後は、広告ブロッカーの中でも評価の高い無料ツールの一つであるuBlock Originに関するニュースです。彼らは、複数の理由からFacebook広告のブロックがあまりにも困難になったと発表しました。Facebook自身のプラットフォーム上でも広告が大きく難読化されており、ユーザーへの表示方法も絶えず変化しているようです。Facebookにとってはそれ自体がビジネスモデルの根幹なので、そうした複雑な仕組みにする動機があるのは当然です。ただ、いずれにせよFacebook広告のブロックがあまりにも困難になったため、uBlock Originはそのフィルタリングを取りやめました。少なくとも、できる範囲の基本的な保護は続けるとのことですが、Facebook広告に対抗し続けるのはあまりにもリソースを食う作業になってしまい、このボランティアプロジェクト――オープンソースとはいえ、おそらく2、3人程度の非常に小規模な組織だと思いますが――ではもはや太刀打ちできなくなったということです。私にはこれが、大企業が消耗戦に勝利する典型的な例のように思えます。あなたはどう思いますか。

DRのRob Wright: 私も同じように感じます。もっと大きな視点で見ると、マルバタイジング(不正広告)やアド詐欺、クリック詐欺など、エコシステム全体がサイバー犯罪者に有利な形でどんどん劣化しているのだと思います。こうした話は見過ごされがちですが、非常に重要な問題だと考えています。少し前に、ロイターの調査報道がありました。要約すると、見出しは「Metaは不正広告で巨額の利益を得ている」というものです。さらに、Gen[Digital]による別の調査レポートでは、Meta上の広告のおよそ3件に1件が詐欺やフィッシング、マルウェアに誘導するものだったとされています。驚くべき数字です。こうした脅威を緩和し、個人のセキュリティを高めるための武器を一つ失ってしまい、それが二度と使えなくなるとなれば、もはやFacebookは利用する価値よりも厄介事の方が上回る段階に来ているのではないかと思わざるを得ません。詐欺やマルウェア、悪意あるリンクがあのプラットフォーム上にはびこっていますが、Facebook側が対策に本腰を入れているようにも見えません。ですから……

DRのAlex Culafi: ええ。Facebookを「利用する価値より厄介事の方が上回る」と言うのは、いささか今さらな感もありますね。私自身はまだ地元コミュニティの情報を追うためにFacebookを使っています。おそらく、現存する最後の若いFacebookユーザーの一人かもしれません。ですが、ブラウジング体験としては悪夢のようなものです。Facebookのコンテンツ担当者たちも、非常に悪質なものをプラットフォームから排除しようと相当な努力をしているのだとは思いますが。

DRのRob Wright: ええ、今のはずいぶん年配者っぽい発言に聞こえましたが、それはそれで構いません。

DRのAlex Culafi: それでも、多くの問題をすり抜けさせてしまっているのも事実です。インターネット上の正規のサービスの中でも、最悪の部類に入るブラウジング体験だと思います。

DRのRob Wright: 残念ながらそうですね。それでは今回の「見逃したニュース」はこれで終わりです、Alex。ありがとうございました。

DRのAlex Culafi: ありがとう、Rob。