ハッカーとサイバー攻撃の真実とは
〜ハッカーへの誤解と、サイバー空間の新しい真実〜
かつて私はホワイトハッカーだった。勝手にサイトの脆弱性を調べて企業に警告していた。悪いことに技術を使ったことは一度もない。
ところで、ハッカーという言葉を聞いて、何を思い浮かべるだろうか。
他人のコンピューターに侵入し、情報を盗み、システムを破壊する犯罪者。映画やニュースで描かれるハッカー像は、そのようなものが多い。
しかし、本来のハッカー文化は、それとは異なる。
ハッカーとは、コンピューターやネットワークの仕組みを深く理解し、既存の枠組みにとらわれず、技術的な問題を解決しようとする人たちの文化から生まれた言葉でもある。
悪意を持って技術を悪用するクラッカーと、技術を探究するハッカーを区別する考え方も、かつては重視されていた。
ところが、マスメディアは両者を区別せず、ハッカーという言葉を犯罪者の代名詞のように扱ってきた。
これは単なる言葉の問題ではない。技術者文化そのものに対する誤解を生み、社会に貢献できる人材を遠ざける原因にもなっている。
■アノニマスに対する誤解
その典型例がアノニマス（Anonymous）である。
アノニマスは、一般的な組織のように明確な会員制度や中央集権的な指揮系統を持つ団体ではない。個人や小集団が共通の名称を掲げて活動する、分散型の集合体である。
その活動には、政治的な抗議、情報公開、サイバー攻撃など、さまざまなものが含まれる。
当然ながら、そのすべてを正当化することはできない。しかし、活動の一部に問題があるからといって、アノニマスという存在や、それに関わる技術者を一括りに犯罪者扱いするのも適切ではない。
重要なのは、誰が、何の目的で、どのような行為をしたのかを個別に判断することである。
技術を持っていることと、その技術を悪用することは別の問題なのだ。
■ネットワーク上は冷戦時代
もう一つ、私たちが認識しなければならない現実がある。
それは、サイバー空間が国家間の対立や軍事作戦の舞台になっていることだ。
現代の戦争は、戦車や航空機、ミサイルだけで行われるわけではない。
相手国の情報を盗み、通信を妨害し、電力や交通などの社会インフラを攻撃する。偽情報を流して世論を操作することもある。
ロシアによるウクライナ侵攻では、実際の軍事作戦と並行してサイバー作戦が実施された。衛星通信への攻撃や情報収集、インフラへの妨害などが確認されている。
また、国家のサイバー部隊だけでなく、民間の技術者やボランティアがサイバー空間での対立に参加する事例もある。
技術者がサイバー空間の兵士となり、軍事作戦を支援する時代になったのである。
私は、現在のネットワーク空間を、ある意味で冷戦時代と捉えている。
銃声も爆発音も聞こえない。しかし、国家間の情報戦や諜報活動は続いている。平時と有事の境界も曖昧になっている。
一般市民が気づかないところで、社会を支えるシステムが攻撃対象になっているのだ。
■侵入方法を公開することは正義なのか
実は、私自身は過去に、システムへの侵入方法を公開しようかと考えたことがある。
危険なシステムを発見して警告しても、すべてのシステムを調査できるわけではない。個別に警告できる範囲には限界がある。
それならば、侵入方法を公開することで、不特定多数の人に危険性を理解してもらい、防御に役立ててもらえないだろうか。
そう考えたのである。
しかし、公開には大きなリスクがあった。
侵入方法と対策を同時に公開したとしても、対策がすべてのシステムに適用されるまでには時間がかかる。その間に、公開した情報がサイバー攻撃に悪用される可能性がある。
防御側が対策を講じるより先に、攻撃者が行動するかもしれない。
結局、私は公開を思いとどまった。
技術を公開すれば社会全体の防御能力を高められる可能性がある。しかし、その技術が犯罪に利用された場合、取り返しのつかない被害を生む可能性もある。
技術者には、技術を知っていることだけでなく、それを公開する責任についても考える必要がある。
現在では、脆弱性を発見した人が関係する企業や組織に報告し、修正を調整してから公表する「協調的脆弱性開示」という考え方が広がっている。
技術の公開と社会への警告を、どう両立させるか。これは今後も考え続けなければならない問題だ。
■ホワイトハッカーをどうやって見つけるのか
企業がホワイトハッカーを採用する場合にも、同じような問題がある。
一般的な採用活動では、学歴、資格、職歴などが評価される。しかし、ハッカーの技術力は、それだけでは判断できない。
CTFなどの技術競技会、バグバウンティ、セキュリティ研究、オープンソースへの貢献など、実際の技術力を示す方法はある。
しかし、企業側にそれを評価できる人材がいなければ、優秀な技術者を見つけることは難しい。
特に独学で技術を身につけた人や、一般的な企業での職歴を持たない人にとって、採用のハードルは高い。
技術者が自分の能力を証明することと、企業がその能力を正しく評価することは、別の問題なのである。
日本ハッカー協会のように、技術者と企業をつなぐ活動を行う団体もある。IPAの脆弱性届出制度やJPCERT/CCなど、技術者が社会に貢献するための窓口も存在する。
しかし、こうした制度や仕組みがあることと、必要な技術者が適切に活用されていることは同じではない。
■技術者文化を理解する社会へ
技術は善にも悪にも利用できる。
しかし、技術そのものに善悪があるわけではない。問題は、それを利用する人間の目的と行動にある。
ハッカーを犯罪者扱いする社会では、優秀な技術者が正当に評価されない。技術を社会に還元しようとする人まで遠ざけてしまう。
そして、サイバー空間が国家間の対立や軍事作戦の舞台になっている現代において、技術者の能力は社会の安全を守るためにも必要になっている。
企業も警察も行政も、技術者を単なる採用候補者や外部の協力者として見るのではなく、その能力を理解し、適切に活用する仕組みを整えるべきだ。
ハッカー文化への理解は、技術者を擁護するためだけのものではない。
それは、自由で安全な情報社会を守るために必要なことなのである。
コメント