今週もPWNEDの時間です。このコラムでは、深刻なセキュリティ上の失態を犯した組織を取り上げています。通常は企業、たまに学校が対象ですが、今回は世界最強の軍隊で起きた重大なIT上の過ちをお伝えします。
ネットワークに大きな穴を空けたままにしていた事例をご存じですか。ぜひ [email protected]までお寄せください。ご希望があれば匿名でも対応します。
今回の話は、ITの監視・サービス企業SolarWindsのCISO、ジャスティン・ヘンケル氏から寄せられました。ヘンケル氏はかつて空軍でITセキュリティに携わっており、2000年代初頭のある日、現在では到底通用しない慣行を目にしたといいます。
USBメモリが普及する以前、任務データはCDに焼いて持ち運ぶのが常套手段でした。そのディスクは、非機密システムにも機密システムにも挿入されていました。
「CDに書き込み、それを機密システムに入れて、残りの任務計画を仕上げていました。そのうえで、同じディスクを航空機に積み込んでいたのです」とヘンケル氏は語ります。
航空機内では、CDのデータがパイロットのナビゲーションを助け、遭遇しうる脅威の情報も含まれていました。
その後、サムドライブが登場すると、パイロットたちはディスクの代わりにそれを使うようになりました。
「機密システムと非機密システムの違いが全体に及ぼす影響を、彼らはまともに考えていませんでした」とヘンケル氏はパイロットたちについて述べます。「同じデバイスを両方に使っていたため、USBメモリにマルウェアを読み書きできるということを理解していなかったのです。脅威の全体像を把握していませんでした」
ヘンケル氏によると、空軍の要員は、正規の軍事契約業者から調達するのではなく、現地の業者からフラッシュドライブを購入していました。アフガニスタンに駐留していれば、文字どおりカブールの店で入手することもあったといいます。しかも、ベスト・バイのような店とは到底言えませんでした。
「米国製のコンピュータを国内に持ち込むより、現地で買うほうが手っ取り早かったのです」と同氏は言います。「ですから、カブールなり、滞在先の都市の現地市場に出向いて調達していました。私自身もそうしていました。現地の業者と関係を築き、『USBメモリが100本必要なんだ』と頼むわけです」
しかし残念ながら、米国の敵対勢力はこれに気づき、中東の現地業者に感染したUSBメモリを売り込み始めました。
機密システムでスニーカーネット（USBメモリなどを人手で持ち運ぶデータ受け渡し）を使うのは、災いのもとになる。ヘンケル氏にはそれが分かっていました。ただ、誰も耳を貸してくれなかったのです。
「衝撃でした」と同氏は語ります。「当時私は22歳の若造で、階級体系のなかでは非常に下っ端でした。そんな立場で、大佐や少佐に向かって、あなた方のやっていることは違反ですと訴えていたのです」
2008年、米国防総省はマルウェアに感染しました。米中央軍にアクセスできるノートPCに、感染したUSBフラッシュドライブが接続されたのが原因です。「Agent.BTZ」と名付けられたこのワームは、感染したコンピュータから情報を収集し、リモートサーバーと通信する能力を備えていました。2016年のFBIと国土安全保障省（DHS）の報告書は、このマルウェアをロシアの1つまたは複数のグループによるものとしています。
国防総省がシステムからこのマルウェアを完全に除去するまでには、14か月を要しました。
国防総省が2008年にようやく目を覚まし、USBドライブの使用を禁止して、データ転送をより安全なシステム経由に切り替えたのは、この攻撃がきっかけでした。2010年には、一定の条件下でドライブの使用が再び認められています。 ®
