Windowsの欠陥を「怒った研究者」が公開、ハッカーが即座に悪用

セキュリティの「番人」が、扉を開け放った。

今月、Chaotic Eclipseというハンドルネームを持つセキュリティ研究者が、MicrosoftのWindowsに存在する未修正の脆弱性を悪用するコードをブログとGitHubで公開しました。動機は、Microsoftへの不満です。「私はMicrosoftをはったりで脅していたわけではない。そして、また実行する」と研究者は書き残しました。皮肉めいた感謝の言葉をMicrosoftのセキュリティ対応チーム（MSRC）に向けながら。

結果は、予想通りの展開でした。

何が起きたのか：3つの脆弱性と即座の悪用

サイバーセキュリティ企業のHuntressは4月17日、研究者が公開したコードを使ってハッカーが少なくとも1つの組織に侵入したことを確認したと発表しました。悪用された脆弱性は3つ。BlueHammer、UnDefend、RedSunと名付けられたこれらの欠陥は、いずれもWindowsに標準搭載されているウイルス対策ソフト「Windows Defender」に存在し、攻撃者がPCの管理者権限を取得できるという深刻なものです。

3つのうちBlueHammerについては今週中にMicrosoftがパッチを配布しましたが、残る2つはまだ修正されていません。攻撃者は公開されたコードをそのまま「既製品の攻撃ツール」として利用しており、技術的な高度さを必要とせずに悪用できる状態になっています。

Huntressの研究者John Hammond氏はTechCrunchに対し、「これほど簡単に入手でき、すでに武器化されている以上、防御側と攻撃側の間で新たな綱引きが始まった」と語りました。「防御側が必死にパッチを当てようとする一方、攻撃者はすでに準備の整った攻撃ツールを手にしている」という非対称な状況が生まれています。

Microsoftは今回の件について、「調整された脆弱性開示（Coordinated Vulnerability Disclosure）」という業界慣行を支持するとコメントするにとどまり、具体的な対応策については明言を避けました。

広告

広告掲載について

[email protected]

広告

なぜ今、これが重要なのか

この事件の背景には、セキュリティ業界が長年抱える構造的な緊張関係があります。

セキュリティ研究者が脆弱性を発見した場合、一般的には該当企業に非公開で報告し、修正が完了した後に公表するという「責任ある開示（Responsible Disclosure）」が業界の標準的な慣行です。しかし今回のChaotic Eclipseが選んだのは、その対極にある「フル・ディスクロージャー」、つまり企業の対応を待たずに詳細を公開するというアプローチでした。

研究者がこうした行動に出る背景には、企業側の対応の遅さや、研究者の貢献が正当に評価されないといった不満が積み重なっていることが多いとされています。今回もChaotic EclipseがMicrosoftとの間でどのような経緯があったのかは明らかにされていませんが、「MSRC（Microsoftセキュリティ対応センター）のリーダーシップに多大な感謝を」という皮肉まじりのコメントが、その関係性を示唆しています。

この問題は日本企業にとっても他人事ではありません。ソニー、トヨタ、任天堂をはじめ、日本の主要企業の多くはWindowsベースのシステムを基幹業務に使用しています。特にWindows Defenderに管理者権限を奪取される脆弱性が存在するということは、エンドポイントセキュリティの根幹が揺らぐことを意味します。セキュリティ担当者は、Microsoftの公式パッチが出るまでの間、代替の防御策を急いで講じる必要があります。

「公開」の倫理：守る者か、危険にさらす者か

この事件が提起する最も難しい問いは、技術的な問題ではなく倫理的な問題です。

研究者の側から見れば、企業が脆弱性の修正を先延ばしにし、研究者の報告を軽視するならば、公開という手段は正当な圧力になり得ます。実際、過去にフル・ディスクロージャーが企業を動かし、長年放置されていた脆弱性が修正されたケースも少なくありません。

一方、企業や被害を受けた組織の立場からすれば、修正前に悪用コードを公開することは、無辜のユーザーをリスクにさらす無責任な行為とも映ります。今回、実際に1つの組織が侵入被害を受けたという事実は、この懸念が現実のものであることを示しています。

日本のセキュリティコミュニティでは、こうした「個人の正義」と「社会的安全」のバランスについて、どのような合意形成が可能でしょうか。欧米に比べ、日本ではセキュリティ研究者とベンダーの関係がより協調的とされる傾向がありますが、グローバルなプラットフォームを使う以上、海外の研究者による行動の影響を避けることはできません。