ワシントン発 — FBIは水曜日、悪意あるハッキング活動に対する連携型のテイクダウン(摘発・無力化)作戦を制度化し、迅速化する方針を明らかにしました。
同局が新たに打ち出した4本柱の戦略では、サイバー攻撃の捜査・帰属特定・妨害の進め方、被害者への迅速な関与と有用な情報の共有、他の政府機関や民間セクターとの連携、そして採用・訓練・新ツール導入を通じた自局の能力強化について定めています。
「我々の戦略は、現在行っている場当たり的な[妨害活動]のやり方から脱却し、より定常的な体制で実施することに主眼を置いています」と、FBIサイバー部門の副部長を務めるブレット・レザーマン氏は、ビリントン・サイバーセキュリティ・サミットでの講演でこう述べました。
FBIはここ数年で、自ら主導し、あるいは参加してきた妨害作戦の件数をすでに大幅に増やしてきました。最近の代表的なテイクダウン事例としては、ロシア軍情報機関が運用していたルーターボットネット、中国政府が米国の重要インフラ標的化に使用していたドメイン群、そしてランサムウェアグループAlphVへの対応が挙げられます。しかし今回のFBIの新戦略は、政府当局者たちがこうした活動ペースの向上ですら十分ではないと懸念していることを反映しています。
サイバー脅威を取り巻く環境は「もはや一組織だけで対処できる状態ではなくなりつつあり、我々は対応の一貫性を確保しなければなりません」とレザーマン氏は述べました。「連日、絶え間ない攻撃にさらされている被害者を支援するため、[FBI傘下の]56の現地事務所にチームを派遣しなければならない状況です」
新戦略の一環として、ロシア、中国、サイバー犯罪者など特定の脅威に特化したFBIチームが、それぞれ独自の対応計画を策定します。また、攻撃的ハッキングや制御システム(OT)侵害の捜査など、特定の作戦分野に特化したチームも、それぞれに合わせた戦略を策定する予定です。
及び腰の企業を安心させる
今回のサイバー戦略の目標の一つは、企業に対し、ハッキング被害をFBIに報告すべきだと納得させることです。FBIが被害企業の支援を本気で考えており、その報告内容を規制当局と共有することはないという点を伝える狙いがあります。
「法執行機関の活動を支える情報を迅速に提供することに対して、最近は多くの組織が及び腰になっている状況を目にしています」と、レザーマン氏は講演後に記者団に語りました。
FBIは、ここ数年で企業側の情報共有への意欲が低下していることを確認しており、これは長年続く傾向の延長線上にあるといいます。「正直、その正確な理由は分かりません」とレザーマン氏。同氏はその一因として「サイバー分野におけるFBIの価値に対する不透明感」、もう一因として「規制環境や、FBIが規制当局とどこまで情報を共有するのかという懸念」を挙げました。
FBIは、インシデント対応について企業に助言する専門の法律事務所とのサミットなどを通じ、企業側の懸念解消に力を入れています。
「これは非常に憂慮すべきことです」と、レザーマン氏は企業がFBIとの関与を避けたがる傾向についてこう語りました。「国家が関与する攻撃者に侵害された組織が、法執行機関を巻き込むことのほうが自力で対処するよりもリスクが高いと考えてしまう。これは我々全員が憂慮すべき事態です」
同氏は、中国政府系ハッカーを自社ネットワークから排除する上で、どんな企業であってもFBIの支援なしに単独で対処できる立場にはないと主張しました。
「我々はサイバー分野における権限を通じて、どのインシデント対応企業にも見えないものを見ることができます」と、レザーマン氏はビリントンでの講演で述べました。「早い段階で我々に連絡してもらえれば、他では得られない脅威インテリジェンスのツールや能力を投入することができます」
レザーマン氏は経営陣に対し、FBIとの連携に対する抵抗感を減らすため、今すぐ顧問弁護士と話し合っておくよう促しました。「外部弁護士がFBIへの情報提供の門番となり、そのまま何週間も過ぎてしまうケースをあまりにも多く目にしてきました」と同氏は述べています。「侵害されたネットワーク上で協議が続いている間に、攻撃者側が優位に立ち、さらに深く潜伏を固めてしまうのです」
連携は、より広いエコシステム全体の利益にもつながると同氏は指摘します。「被害者が早期に報告し、早期に情報を提供してくれることで、我々は米国、欧州、そしてそれ以外の地域のインフラを次々に移動する攻撃者に対して、その上流側から対処することができるのです」
これまでFBIは、機微な捜査を危険にさらすことを恐れ、被害組織の自衛に役立つ重要な情報の共有には消極的な姿勢を取ってきました。しかし、この姿勢はここ数年で変化してきたと、レザーマン氏は記者団に語りました。
「我々は、情報共有に対する考え方を大きく変えました。以前は作戦上の機会のために情報を温存する傾向がありましたが、今はより迅速に、より頻繁に共有するようになっています」と同氏は述べました。
レザーマン氏はこれを、FBIサイバー部門内における「文化の転換」と表現しました。同部門の捜査官たちは、敵対勢力への手の内を明かすことを恐れ、これまで自分たちの作業の技術的詳細を厳重に守ることに慣れていたためです。
現在は「痛みを伴うまで共有する、というのが我々の姿勢です」とレザーマン氏。「私がチームに常に問いかけているのは、『もしこの場に被害者、あるいは被害を受ける可能性のある組織が座っていたとしたら、彼らはこの情報を求めるだろうか。作戦を優先してこの情報を今共有しない、というだけの正当な理由が我々にあるだろうか』ということです」
「インテリジェンスを持っている状況では常に、被害者の視点に立たなければなりません。彼らはその瞬間に自ら声を上げることができないからです」と同氏は付け加えました。もしFBIが「数百件規模の重要インフラに影響を及ぼせるのであれば、その情報は共有すべきです」
ハッキング対策における連携の拡大
FBIのサイバー戦略における大きなテーマの一つは、妨害作戦においてより多くの組織と連携したいという同局の意向です。しかし、トランプ政権が米国政府に代わって民間企業が海外のサイバー犯罪集団をハッキングできるようにする取り組みを進める中、FBIの捜査は新たな問題に直面する可能性があります。専門家は、連携の取れていないサイバー攻撃が、FBIによる海外標的の監視活動を妨げかねないと警告しています。
レザーマン氏は記者団に対し、ホワイトハウスによるこの新たな取り組みの影響を予測するのは時期尚早だと述べ、司法省は現在も「こうした権限が産業界と法執行機関それぞれにどう適用されるのか、その道筋を整理している最中」だと説明しました。ただし同氏は、司法省(DOJ)と国土安全保障省(DHS)が民間によるハッキング活動を承認し、綿密に監督することになると強調しました。
「これは、産業界が独自に標的を選定し、独自に攻撃を仕掛けるような状況ではありません」と同氏は述べました。
一方、FBIの新戦略では、同局自身による妨害作戦の頻度と範囲を今後拡大していく方針が示されています。
「年に数回程度しか実施されない大規模な合同連携作戦を待つのではなく」とレザーマン氏は述べ、「今後は、そうした重要な[作戦]をはるかに多く目にすることになるでしょう。我々は、敵対勢力を妨害するための緊急かつ定常的な機会に、常に取り組んでいるからです」と続けました。
FBIの目標は「産業界を、この戦いにおける単なる脅威インテリジェンスのやり取り相手ではなく、作戦上のパートナーにすることです」と同氏は語りました。
