【ITニュース解説】They know where you are: Cybersecurity and the shadow world of geolocation

サイバー攻撃は、もはや無差別に誰かを狙うものだけではなくなっている。特定の国や企業、さらには特定の建物といった「場所」を正確に狙い撃ちする、より巧妙で標的型の攻撃が増加している。この標的型攻撃の鍵を握るのが「ジオロケーション」、すなわちデバイスの位置情報である。普段、私たちは地図アプリや天気予報などで位置情報の恩恵を受けているが、攻撃者はこの情報を悪用し、強力な武器へと変えてしまう。サイバーセキュリティの世界では、位置情報が目に見えない新たな攻撃経路となっており、従来の防御手法だけでは対応が困難になりつつある。

ジオロケーションとは、スマートフォンやノートパソコンなどのデバイスが物理的にどこにあるかを示す情報のことである。これは、GPS衛星からの信号、接続しているWi-Fiアクセスポイントの情報、携帯電話の基地局との距離、あるいはインターネット接続に使われるIPアドレスなど、複数の技術を組み合わせて特定される。この技術が攻撃者に悪用されると、極めて深刻な事態を引き起こす。攻撃者は位置情報を利用して、攻撃対象を地理的に絞り込むことができる。例えば、ある国の政府機関や、特定の重要インフラ施設（発電所や工場など）の敷地内にあるデバイスだけを攻撃のターゲットにすることが可能になる。

さらに巧妙な手口として、マルウェアを特定の場所に到達するまで「休眠」させる攻撃がある。マルウェアとは、ウイルスやスパイウェアなど、悪意を持って作られたソフトウェアの総称である。攻撃者はまず、不特定多数のデバイスにこのマルウェアを感染させておく。感染した時点では、マルウェアは何も活動せず、潜伏し続ける。そして、感染したデバイスが標的として定められた場所に物理的に移動したことを検知した瞬間に、マルウェアは目を覚まし、破壊活動や情報窃取といった本来の攻撃を開始する。この手法の恐ろしさは、攻撃の兆候がターゲットの場所に到達するまで現れないため、発見が非常に困難である点にある。過去にイランの核施設を標的とした「Stuxnet」というマルウェアは、まさにこの手法を用いた代表例である。Stuxnetは、特定の産業用制御システムが存在する施設内でのみ活動するようにプログラムされており、ピンポイントで物理的な破壊を引き起こした。現代のAPTと呼ばれる高度なサイバー攻撃集団も同様の手法を用いる。例えば、企業の従業員のノートパソコンを社外で感染させておき、その従業員が出社して社内ネットワークに接続したタイミングでマルウェアを起動させ、社内システム全体へ感染を拡大させる、といったシナリオが考えられる。

このような位置情報を悪用した攻撃に対して、VPNや境界型防御といった従来のセキュリティ対策は限界を迎えつつある。VPNは、通信を暗号化し、IPアドレスを偽装することでインターネット上での現在地を隠す技術だが、万能ではない。VPNでIPアドレスの位置を偽装しても、デバイスに搭載されたGPSや周辺のWi-Fi情報など、他の手段で正確な物理的位置が特定される可能性があるためだ。また、ファイアウォールに代表される境界型防御は、組織のネットワークを「安全な内側」と「危険な外側」に分け、その境界を監視する考え方である。しかし、マルウェアに感染したデバイスが従業員によって「内側」に持ち込まれてしまえば、この防御壁は簡単に突破されてしまう。リモートワークやクラウドサービスの普及により、そもそも組織のネットワークにおける「内」と「外」の境界自体が曖昧になっており、境界型防御の有効性は低下している。

こうした新たな脅威に対抗するためには、セキュリティ対策も進化する必要がある。その中心となる考え方が「ゼロトラスト」である。これは「何も信用しない」という原則に基づき、ネットワークの内側にいるからといって安全とは見なさず、すべての通信やアクセス要求をその都度検証するアプローチだ。デバイスがどこにあろうと、誰が使っていようと、アクセス権限を厳格に確認することで、たとえマルウェアが内部に侵入したとしても、その活動を制限することができる。また、個々のパソコンやスマートフォンといった「エンドポイント」自体のセキュリティを強化することも極めて重要になる。デバイスが社内にあろうと社外にあろうと、その挙動を常に監視し、不審な動きを検知・ブロックする仕組みが求められる。さらに、デバイスの地理的な位置、アクセスしている時間、普段とは異なるアプリケーションの使用といった様々な状況、すなわち「コンテキスト」を総合的に分析し、リスクを判断する防御手法も不可欠となる。これにより、「東京のオフィスから日中にしかアクセスしないはずのアカウントが、深夜に海外から重要データにアクセスしようとしている」といった異常を即座に検知し、攻撃を未然に防ぐことが可能になる。システムエンジニアを目指す上で、位置情報という身近なデータが攻撃の起点となり得るという事実を理解し、場所や境界に依存しない、より動的で多層的な防御の考え方を学ぶことは、これからの時代に必須のスキルと言える。