ライフラインなど最重要インフラへのサイバー攻撃は、特に国家にとってその存続を揺るがしかねないものとして、近年関心が高まっている。ESETのキャメロン・キャンプ（Cameron Camp、ESETセキュリティ研究員）とスティーブン・コッブ（Stephen Cobb、ESETセキュリティ主任研究員）が、この問題に警鐘を鳴らす。
この記事は、ESETが作成したホワイトペーパー「TRENDS 2017: SECURITY HELD RANSOM」の第7章「Threats to Critical Infrastructure: the Internet Dimension」を翻訳したものである。
非常に重要なインフラ、例えば電力、水、輸送網、またサンディエゴのようなスマートシティーそのものさえ揺るがしかねない被害は、「ブラックエナジー」（BlackEnergy）事件のようなマルウェアの関与によって生じた停電をはじめとして、考えられているよりもはるかに多く起こり始めている。
最重要インフラ
最重要インフラに対するサイバー攻撃は、2016年を象徴する鍵となったトレンドであり、2017年も引き続きニュースのヘッドラインをにぎわし、平穏な市民生活を不安に陥れることが予想される。実際のところ、2016年、ESETの情報サイト「Welivesecurity」が掲載した最初の関連記事は、アントン・セレパノフ（Anton Cherepanov）によるブラックエナジー事件の分析だった。この事件では、ウクライナの電力会社に対する攻撃に不正コードが使用され、その地域で何十万もの家庭が数時間に及ぶ停電被害に遭った。ところで、この事件やその他の出来事について語る前に、「インフラ」という用語を明確にしておかねばならない。この言葉を聞いても、人によって思い浮かべるものは違っており、この語に付く形容詞の「最重要」が何を意味するかについても、はっきりとした合意があるわけではないからだ。
言葉の定義
米国では、国土安全保障省(DHS)が最重要インフラの防護を受け持っている。同省は、最重要インフラを16セクターに分類しており、次のように説明している――「その施設、システム、ネットワークは、物理的なものであれ仮想現実的なものであれ、米国の生命線に関わるものと考えられる。したがって、それらが機能を停止したり破壊されたりすれば、セキュリティ、国家経済の安全保障、また国民の健康と安全が、それぞれ、あるいは同時に、著しく低下することが予想される」というものである。これら16セクターの詳細な定義は、「dhs.gov」のリンク先で見ることができるが、ここではその項目を列挙することで、最重要インフラがいかに危ういものか、ということの意味を理解していただきたい。
- 化学工業
- 商業施設
- 通信
- 最重要生産業
- ダム
- 産業拠点
- 救急サービス
- エネルギー
- 財政サービス
- 食物および農業
- 政府関連施設
- 病院および国民の健康
- 情報技術（IT）
- 原子炉および核燃料(「使用済み」を含む)
- 公共交通システム
- 上下水道システム
以上のセクターは全て、程度の差はあれ、インターネットというデジタル・インフラに依存している。そのため、場合によっては「最重要インフラ」と「インターネット・インフラ」との混同が見られる。2016年に起きた2つの鍵となる事件、すなわち冒頭で言及した「ウクライナの停電」と「10月21日Dyn IoT DDos攻撃」(以下「10.21」)を見れば、両者の違いは明らかである。
被害をもたらした事件
ウクライナにおける電力網への攻撃は、インターネット・インフラが悪用された結果起こったものである。攻撃者は、メールやインターネット接続を使う他の手段でネットワークにつながった電力会社のコンピューターの中に足掛かりをつくった。標的にされた組織の中には防壁の効果が及ばない箇所があり、攻撃者はそこを突くことで、インターネットを通して、電力供給を遠隔制御するアプリケーションにアクセスできたのである。ESET研究員のロバート・リポブスキー（Robert Lipovsky）は、この攻撃による被害を「2015年12月23日、ウクライナのイヴァーノ＝フランキーウシク地方(人口約140万人)でほぼ半数の家庭が、数時間の間、電気のない生活を強いられた」と報告している。このような停電は明らかに、最重要インフラに対する攻撃と言える。またそれが仮に将来の攻撃に向けたテストだったと考えれば、今後起こり得るさまざまな事件の前触れと見なすこともできる。
「10.21」事件は、一連の大規模な分散型サービス妨害（DDos）攻撃であり、インターネットに接続した何千万ものデバイス(まとめて「モノのインターネット」または「IoT」と呼ばれる)に被害をもたらした。それは、米国の数多くの有名企業に「ドメイン名サービス」(DNS)を提供しているDynという会社のサーバーを標的にしたのだ。DNSはインターネットのいわば「アドレス帳」であり、このシステムのおかげで、インターネットを通した情報リクエストが正しいホスト(サーバー、ノートパソコン、タブレット、スマートフォン、スマート冷蔵庫など)へと確実に届けられるのである。「10.21」事件の影響は、Webサイトやインターネットのコンテンツ・サーバー、またメールのような他のインターネット・サービスに対するトラフィックを妨害したり、遅延させたりすることだった。インターネットのサービスはどれも非常に強く相互依存しており、この性格からして、「10.21」事件は、あらゆる方向へと損害を広げていく連鎖反応を引き起こし、直接的な攻撃目標ではなかった会社をも巻き込んで、相当な割合の米国企業に大きな被害を与えたのである。
ある会社がソフトウェアをオンラインで販売しているとしよう。この会社のWebストアは攻撃者のターゲットになっているわけではないが、この企業の製品のオンライン広告を供給しているサーバーにたどり着けないために、このサイトへのトラフィックがダウンしてしまう。この企業のWebサイトは、自分の依存するコンテンツ供給ネットワーク(CDN)との連絡が一時的に途絶えているため、Webページをきちんと読み込むことができないのである。顧客は、オンラインでの商品購入を完了した後で、今買ったばかりの製品をダウンロードしようとしても、コンテンツ・サーバーに接続できないということが起こり得る。そのソフトウェアのライセンス・サーバーがタイムアウトしてしまい、自分の商品購入をアクティベートできないこともある。どうしたらいいのか分からない顧客は怒りに任せて、この会社にメールを送り付ける。カスタマーサポートの電話線がパンクする。企業の電話受け付けの自動応答が、顧客に事情を説明するものへと変わる。オンライン広告の表示と検索エンジンのキーワード買い付けが、今から何かを買おうとする顧客を怒らせないために、いったん中止される。収益が失われ、社員は通常業務から離れて、閑職に就かざるを得ない。
もちろん「10.21」がもたらした被害は、会社によって大きく異なる。接続切れがなかなか復旧しなかった会社もあれば、オフライン状態が数分間だけだった会社もある。しかし、インターネットの1分間は、膨大な量の取引に相当する。例えばAmazonのオンライン小売り収益は、1分間で2千万円（20万ドル）以上になる。AppleのApp Storeなら同じ1分間で、5万を超える数のアプリがダウンロードされるのだ。「10.21」事件は、インターネット・インフラが日常的な商取引にとってどれほど致命的なものかを、はっきりと示して見せたのである。だが、それがもし最重要インフラに対する攻撃でもあったとしたら、どうであろうか。実際のところ「10.21」が、交通機関や水道、農業、エネルギーといった稼動中の最重要セクターに被害を与えたという報告はなかった。しかし、「10.21」のDNSに対する攻撃と同じような攻撃が、航空便チケットの予約・発券や輸送網における通信、また電力供給網などの最重要インフラを襲ったらどうなるか、想像するのは難しいことではない。そしてそうした攻撃は、セキュリティ技術者であるブルース・シュナイアー（Bruce Schneier）が「2015年か2016年ぐらいから、誰かが、インターネットの最重要部分を運用している企業の防御状態を探っているようだ」と指摘したパターンに沿って現れる可能性がある。
「……国家は今や、最重要インフラに対する攻撃を想定し、これと戦わなければならない。そうした国家がとる政治的対応と社会的対応の組み合わせは、実に興味深く、複雑なものとなるだろう……」
被害の見通し
2017年のトレンドは、インターネット・インフラを通した最重要インフラへの侵入がより執拗に続いていくと予想される。さまざまな類の攻撃者が、サービスを妨害したり、データを人質に取ったりして損害を与える手口を探し続けるだろう。またインターネット・インフラそのものが攻撃され、データやサービスへのアクセスが途絶させられることも考えられる。そしてもちろん、そうしたデータやサービスの中には、最重要インフラである16セクターのスムーズな運用にとって致命的なものが含まれる可能性がある。例えばクラッカーが、医療データや医療システムを標的にすると宣言したら、どうだろうか。このトレンドが他を圧して広がることは十分にありそうだ。
同時に、最重要インフラを支えるシステムのサイバーセキュリティを改善しようとする多様な努力が、さまざまな国で進行中である。米国には今、24時間稼働する「情報共有・分析センター」 (ISAC, Information Sharing and Analysis Centers)があり、最重要インフラ16セクターのほぼ全ての側面をカバーし、サイバーセキュリティに関して送られてくる通信や情報を共有する手段を提供してくれる。「産業インターネット協会」(IIC, Industrial Internet Consortium)は2016年9月、「IoT産業向けセキュリティの枠組み」を公表し、この成長著しいセクターの安全をいかに守るかについて、広範囲にわたる産業界の同意を得ようとする努力を成し遂げた。
このような努力、また世界中で行われているその他の努力が報われるには、支援と資金が必要であり、そうした努力を続ける人々の手にそれらが届くことが真摯に望まれる。しかしそれには、「善意の意図」以上のものがなければならないだろう。つまり、最重要インフラに対するサイバー攻撃により最も損害を被ると予想されるのは市民であり、この「選挙民」に由来する政治的圧力が必須となってくるに違いない。例えば、サイバー攻撃から送電線を守るためにより一層の権限を政府に与えようとする法案が通るのは確実だと思われた。この法案は米国では実際に、2016年4月、民主・共和両党の支持を得て上院で可決された。ところが2016年内には、そのための予算が通ることはなかった。
物事は、政治的、物理的、イデオロギー的境界線を横断して、ますます相互に接続し合い、依存し合うようになる。国家は今や、最重要インフラに対する攻撃を想定し、これと戦わなければならない。そうした国家がとる政治的対応と社会的対応の組み合わせは、実に興味深く、複雑なものとなろう。そのような攻撃があったとき、これに対する適切な防御策ないし反撃策は何なのか？「2017年は解決すべき課題が目白押しの年になる」というのは、おそらく控え目すぎる言い方なのかもしれない。
