Case 05：信頼という名のバックドア（The Backdoor Named Trust）
Case 05：信頼という名のバックドア（The Backdoor Named Trust）
第1部：嵐のあとのツナマヨ
1
月曜日の朝。アイギス・ジャパンのオフィスは、いつもとは違う種類の熱気に包まれていた。
「……で、なんで私のデスクがないわけ？」
ケアラ・マカナは、腕組みをして仁王立ちしていた。
アロハシャツにショートパンツ、そして片手にはコンビニの「ツナマヨおにぎり」。
彼女の視線の先には、書類の山で埋もれた亀之助の隣席（本来は空席）があった。
「急に来るからだろ」
亀之助は淡々とキーボードを叩きながら返した。
「そこは物置だ。諦めて会議室を使え」
「嫌よ。波を見るなら、一番現場に近い席がいいの。……あと、これ美味しいわね。箱買いできない？」
ケアラはツナマヨを頬張りながら、勝手に亀之助のデスクの端に腰掛けた。
その背後で、営業の**守凪**が、経理・法務エリアのカウンターで土下座に近い姿勢をとっていた。
「頼みますよ、湊さーん！ 先週の病院へのタクシー代、経費で落としてくださいよぉ！」
「却下します」
湊は、氷のような視線をPC画面から外さずに告げた。
「緊急対応は認めますが、その後の『お見舞いのメロン代』は業務外です。自腹でどうぞ」
「ええーっ！ お客さんの心を守るのもセキュリティでしょ！？」
「アイギスの守備範囲はレイヤー7（アプリケーション層）までです。レイヤー8（人間関係）は管轄外です」
ピシャリ、と領収書が突き返される。
守凪は泣きそうな顔で振り返り、通りがかった作業着の男に助けを求めた。
「親方ぁ……聞いてくださいよぉ」
「あ？ 知るか。邪魔だどけ」
磯部は、サーバー室への入館証を首から下げ、守凪をぞんざいに押しのけた。
「こっちは先週の障害対応で『非常用バイパス』にしちまった配線の復旧で忙しいんだ。……おい、そこのハワイ女」
磯部がケアラを睨む。
「サーバー室にサーフボード持ち込んだら叩き割るからな。静電気の元だ」
「あら、私のボードはカーボン製よ。アース代わりになるかもね」
ケアラが不敵に笑い返す。
亀之助はため息をついた。
物理層の番人、法の盾、特攻野郎、そして予言者。
全員が同じフロアにいるだけで、空気が飽和しそうだ。
だが、その騒がしい日常は、内線電話の乾いた電子音で断ち切られた。
『……亀之助、ケアラ。地下に来い』
受話器の向こうから、**十凍**の低い声が響いた。
『……時限爆弾が、起動したぞ』
第2部：正規の毒
2
地下ラボの空気は凍りついていた。
十凍は、複数のモニターに複雑なパケットログを表示させていた。
「先週のDNS障害。あの45分間の混乱で、奴ら（APT-Dragon）はアイギスを落としたんじゃない。……アイギスを**『運び屋』**にしたんだ」
「運び屋？」
亀之助が眉をひそめる。
十凍が画面を指差す。
「これを見ろ。アイギスがキャッシュ（一時保存）して配信している、某大手会計ソフトの『アップデートファイル（v2.1.0.exe）』だ。日本中の企業が、このソフトを使って決算処理をしている」
「それがどうかしたの？」
ケアラが尋ねる。
「デジタル署名（Code Signing）は正規のものよ。メーカーが発行した本物だわ」
「ああ、署名は本物だ。だからタチが悪い」
十凍がキーを叩くと、赤いコードが浮かび上がった。
「だが、中身は腐ってる。ビルド環境のタイムスタンプと、内部モジュールの作成時刻にズレがある。さらに、インストール直後に外部へビーコン（信号）を打つ挙動が見つかった」
「……どうやって混入させた？」
「メーカーの開発環境自体が乗っ取られていたんだ。奴らは正規のソースコードの中に、バックドアを埋め込んだ。そしてメーカーはそれに気づかず、正規の鍵で署名し、アイギスのCDN（配信ネットワーク）に乗せた」
十凍は静かに告げた。
「そして、俺たちが先週の障害対応で手一杯だったあの45分間。復旧を急ぐあまり、一時的に監視ルールの一部を緩めた（例外許可した）瞬間があっただろう？ 奴らはその一瞬の隙を突いて、このファイルをキャッシュに乗せたんだ」
亀之助は血の気が引くのを感じた。
「……待て。ということは、俺たちは今……」
「そうだ。アイギスは今、日本中の企業のPCに、ウイルス入りの更新ファイルを高速で、確実に、安全に配り続けている。……最高のデリバリーサービスだ」
これが、サプライチェーン攻撃。
正面から入れないなら、信頼されている「製品」の中に毒を混ぜる。
アイギスという「信頼された通信路」自体が、感染経路に変えられてしまったのだ。
3
緊急役員会議。
猪熊社長の表情は、いつになく険しかった。
「……影響範囲は？」
「推定で国内2万社。官公庁も含みます」
湊がタブレットを操作しながら、震える声で報告する。
「もし公表すれば、メーカーの株価は暴落。配信していたアイギスの信用も地に落ちます。賠償額は……計算不能です」
「でも、止めないと！」
守凪が叫ぶ。
「今この瞬間も、お客さんは『アップデートしてください』っていうポップアップを信じて、ボタンを押してるんですよ！」
「止める？ 簡単にはいきません」
湊が鋭く返す。
「ファイルは『正規の署名』を持っています。システム上は『正常な製品』です。これを止めるにはメーカーのアカウントごと停止する必要がありますが、もし我々の誤検知（誤爆）だったらどうなります？ 決算期に会計ソフトを止めた損害賠償で、アイギスが飛びます」
法務としての正論。
技術的なジレンマ。
中身を全件解析する時間などない。だが、このままでは毒が広がる。
「……カメ。あなたならどうする？」
ケアラが隣で囁いた。
「石橋を叩くんでしょ。……壊れた橋を渡らせないために」
亀之助は目を閉じた。
考える。アイギスの持っている武器。
配ってしまった毒は回収できない。だが、ウイルスは必ず「動く」。感染した後、主人の命令を受けるために、外部へ通信するはずだ。
「……C2（司令塔）だ」
亀之助は目を開けた。
「十凍さん。そのバックドアが接続しようとしている『宛先（C2サーバー）』は特定できてますか？」
「ああ。さっきケアラが炙り出した。……見ろ」
十凍がプロジェクターに映し出したのは、一見無意味なドメイン名だった。
update-chk-sys-win.com
「昨夜取得されたばかりの短命ドメインだ。過去の攻撃キャンペーンで使われたレジストラ（登録業者）とも一致する」
「なら、手はある」
亀之助は猪熊に向き直った。
「社長。ファイルの配信自体を止めるのはリスクが高すぎます。……ですが、感染した後の『発症』は止められます」
「方法は？」
「『Secure Internet Access (SIA)』です。アイギスのDNSファイアウォールを使って、このC2ドメインへの通信だけを、顧客のネットワークからブロック（Sinkhole誘導）します」
それは、毒を飲ませてしまった後で、解毒剤をばら撒くような荒療治だ。
「感染したPCが、犯人からの命令を受け取ろうとして『電話』をかけた瞬間、アイギスがその電話線を切る。……そうすれば、バックドアは起動しません」
「……全顧客の設定に、強制介入するということかね？」
猪熊が静かに問う。
「本来、顧客が自分で管理すべきフィルタリング・ポリシーを、我々が勝手に書き換えることになる」
「契約違反のリスクがあります」
湊が即座に指摘する。
「ですが……大口顧客の契約には『緊急時運用委任条項（Emergency Ops）』が含まれています。そしてその他の顧客についても、約款の『重大な脅威からの保護』を拡大解釈すれば……」
湊は眼鏡の位置を直し、覚悟を決めたように猪熊を見た。
「……戦えます。私が、屁理屈をこねれば」
「……やりたまえ」
猪熊が重く頷いた。
「毒を配った責任は取る。だが、死人は出させない。それがアイギスの流儀だ」
第3部：沈黙の遮断
4
SOCの空気は張り詰めていた。
亀之助の手元には、十凍とケアラが特定したC2ドメインのリストがある。
「SIA緊急ポリシー、適用準備」
亀之助の指が動く。
「対象：緊急運用委任条項を持つ全顧客、およびSIAマネージドサービス対象企業。アクション：当該ドメインへの通信を『Sinkhole（隔離先）』へ誘導」
Enterキーを押す。
この瞬間、日本中の2万社の社内ネットワークで、見えない変化が起きた。
どこかのオフィスで、経理担当者がアップデートボタンを押す。
PCの裏側で、バックドアが起動し、update-chk-sys-win.com へ接続を試みる。
だが、その通信は犯人の元へは届かない。アイギスが用意した「ゴミ箱（Sinkhole）」へと吸い込まれていく。
バックドアは「命令なし」と判断し、沈黙する。
何も起きない。何も壊れない。
「……C2への接続試行、秒間3,000件……すべてSinkholeへ誘導！」
ケアラがモニターを見て叫ぶ。
「すごい数よ。これ全部、バックドアが起動しようとしてたのね」
「……止まりました」
守凪がへなへなと座り込む。
「お客さんからは『何も起きないけど大丈夫？』って電話来てますけど……『大丈夫です！』って言っておきました」
「嘘ではないな」
磯部が通りがかりに、守凪の背中をバンと叩いた。
「機械が燃えなきゃ、それは平和ってことだ」
5
事件は、水面下で収束した。
メーカーは後日、ひっそりと修正パッチを公開した。世間は「バグ修正」だと思っている。
アイギスが裏で数万台のPCを救ったことは、誰も知らない。
夜。
亀之助の隣の席で、ケアラはまだログを見ていた。
「……カメ。これで終わりじゃないわ」
ケアラの手には、食べかけのおにぎりがあるが、食欲はなさそうだ。
「今回のC2ドメイン……そして、先週の障害復旧の『45分間』の隙」
「ああ、タイミングが良すぎる」
亀之助は白湯をすする。
「まるで、俺たちが『いつ』監視ルールを緩めるか、知っていたみたいだ」
「……まさか、スパイがいると？」
ケアラは声を潜めた。
亀之助は否定しようとした。だが、十凍が検出したバックドアの痕跡は、あまりにもアイギスの運用フロー（手順）に詳しかった。
技術的な突破ではない。人間的な裏切り（インサイダー）？
あるいは、運用現場の誰かが、意図的に穴を開けたのか？
「信頼は最大の脆弱性よ。……私たち、もう誰も信じちゃダメかもしれない」
ケアラの視線の先には、残業している司の背中があった。
彼はいつものように胃薬を飲みながら、障害報告書を書いていた。
その背中が、なぜか今日は小さく、そして不気味に見えた。
アイギスという最強の盾。
その内側に、見えない亀裂が入り始めていた。
（第5話 完）
亀之助の技術日誌（Technology Log）
【今回の使用ウェポン：Secure Internet Access (SIA)】
* これはなに？
* 「出口の検問所（DNSファイアウォール）」です。
* 従来のセキュリティは「外から来る攻撃」を防ぐものでしたが、SIAは「中から外へ出て行く通信」を監視します。
* もし社内のPCがウイルスに感染しても、そのウイルスが犯人のサーバー（C2）に連絡しようとした時、DNSレベルで「その電話は繋ぎません」と遮断します。
* 亀之助のボヤキ
* 「『サプライチェーン攻撃』……一番タチが悪い。
* 信頼していたメーカーの正規ファイルに毒が入ってるなんて、石橋を叩くハンマー自体が爆弾だったようなもんだ。
* 今回はSinkholeで無害化できたが、感染した事実は消えない。後で全端末の駆除が必要だ。……守凪さん、お客さんへの説明頼んだぞ」
【 導入あり vs なし 比較】
SIA 導入なし（情報漏洩）
* 感染後：
* バックドアが起動し、犯人のC2サーバーへ接続成功。
* 社内の機密情報がごっそり盗まれ、ランサムウェアを追加でダウンロードされて社内全滅。
* 企業は「加害者」として取引先から訴えられる。
SIA 導入あり（無害化）
* 感染後：
* バックドアがC2へ接続しようとするが、アイギスが通信をブロック（Sinkholeへ誘導）。
* ウイルスは「孤立」し、何もできないまま沈黙。
* 端末は感染しているが、実害（情報流出や遠隔操作）は防げるため、業務を止めずに裏で駆除作業ができる。
ケアラの占い部屋（Security Fortune）
【今回のキーワード：SolarWinds事件とサプライチェーン攻撃】
* ケアラの解説
* 「王様の食事に毒を入れたければ、城壁を越える必要はないわ。王様が信頼している『料理人』を買収すればいい。
* 2020年の『SolarWinds事件』がまさにそれ。世界中の政府機関や大企業が使っている管理ソフトの『正規アップデート』に、ハッカーがトロイの木馬を混入させたの。
* 正規の署名があるから、ウイルス対策ソフトも素通り。数ヶ月間、誰も気づかずに世界中が盗聴されていたわ。
* あなたが今『更新して再起動』したそのアプリ……本当に『中身』も安全かしら？」
* 用語集（Termpedia）
* Sinkhole： 悪性ドメインへのアクセスを、安全な隔離サーバー（ゴミ箱）に誘導して無効化する技術。誰が感染したかの特定にも使える。
* C2（Command & Control）： 悪者が感染PCに命令を送る基地局。ここさえ絶てば、ウイルスはただのゴミデータになる。
