「リーガルマルウェア」って何？
2015年7月はじめ、イタリアの「Hacking Team」社がサイバー攻撃を受けて情報が流出しました。この企業、事業内容がソフトウェア開発なのでIT企業としての側面は持ちつつも、顧客や開発するソフトウェアがちょっと特殊なのです。
この企業は法執行機関（例えばアメリカなら警察やFBIのような組織）向けに、個人や組織から情報を収集する機能などを持つプログラムを開発しています。こうしたプログラムは「リーガルマルウェア」と呼ばれています。「スパイウェアと何が違うのか」という疑問もありますが、ひとまず置いておきましょう。
リーガルマルウェアは存在自体が微妙です。法執行機関が「容疑者なのだから容赦なく情報を収集するぞ」と言えませんし、言いませんよね。そもそも捜査という行為自体、秘密裏に行われる部分が多いのではないでしょうか。捜査していることが捜査対象にばれたら警戒されたり逃げられたりして、捜査が難航してしまいますもの。もちろん捜査は合法な範囲でという前提もありますが。
「でもさ、法執行機関も犯人を捕まえるために何か特殊なプログラムとか、使っているんじゃないの？」
なんてまことしやかに思われていたのかもしれません。でもそれはヒミツでした。ところが先のリーガルマルウェア開発企業から情報が流出したことで、同社の顧客に米FBIがいたことなどが発覚してしまい物議を醸しました。ちなみに日本の組織にも接触していたとか、していないとか。
ここでリーガルマルウェアというのはどういうもので、どういうことをするのか。法的にはどうか。ちょっとそういう難しい問題を考えてみることにしましょう。ただし現時点では是非を結論づけるのは難しそうです。なぜならリーガルマルウェア自体が十人十色なので、ひとまとめに判断できないからです。
まずはあらためてサイバー犯罪捜査の事情を考えてみましょう。今や犯罪やテロはリアルだけではなくネットの世界でも活動範囲を広げています。一方、ハイテク犯罪を捜査する側もリアルだけではなくサイバーの世界でも証拠を押さえて追いつめていかなくてはなりません。
しかし技術的に高度化しているため捜査の難易度は高まっています。容疑者のパソコンを押収したとしても、そこにデータがあるとは限りません。スマホを用いて連絡を取り合っているかもしれませんし、データはクラウドにあるかもしれません。捜査令状を取る間にクラウドのデータを消されてしまうかもしれません。犯罪者たちは通信も何重にも中継することで「足がつかない」ようにしています。
いかに確実に証拠を押さえるか。一般的なハッカーならクレジットカード番号などの情報収集や遠隔操作が目的となるのに対して、リーガルマルウェアを使う捜査側はキー入力などありとあらゆる行動履歴の収集が目的になります。そのためリーガルマルウェアはBIOSなどOSよりもハードウェアに近いところにインストールされることが多いそうです。標的OSも網羅的で幅広いのが特徴です。
デロイトトーマツサイバーセキュリティ先端研究所
主任研究員 岩井 博樹さん
今回解説してくれたデロイトトーマツサイバーセキュリティ先端研究所 主任研究員 岩井博樹さんは「様々なシステム環境下で永続的な監視を行える設計となっているのが特徴です」と話していました。通信を監視するための専用アプライアンスもあるそうです。ISPのデータセンターにどーんと設置するのだとか。
リーガルマルウェアとおぼしきものが出回るようになったのは2011年から。その根拠はプログラムがコンパイルされたときのタイムスタンプだそうです。2011年から増え始め、2013年のものが最も多くを占めています。中には1970年や2038年など突拍子もない日付もありますが、これらは書き換えたようです。
（法的な観点はさておき）技術的な側面で見ると、岩井さんはリーガルマルウェアについて「サイバー犯罪動向に鑑みると有効なソリューションです。困難化しているフォレンジックでも期待できます」と話していました。ただし冒頭に挙げた情報流出により、ソースコードも流出した可能性があります。今後は逆に悪用される懸念もあるので警戒が必要です。
