「Baidu IMEの『クラウド入力』機能、またはBaidu IMEの使用自体を中止すること」。2013年12月、内閣官房情報セキュリティセンター（NISC）が中央省庁に対してこう呼びかけていたことが明らかになりました。このニュースはIT系媒体だけではなく、一般紙やテレビでも報道されたことを覚えている人も多いでしょう。

　Baidu IMEは、米Googleに次ぐ世界第2位の検索エンジン大手である中国の百度（バイドゥ）が提供する、Windows用の無料IMEです。同社は、Android向けにも「Simeji」という無料IMEを提供しています。

　両IMEには「クラウド入力」という機能があり、この機能を使うと、入力した文字情報をBaiduのサーバへ送信します。また当初、クラウド入力機能は基本設定でONになっていたので、多くの使用者がBaiduへ情報を送信していたことになります（現在、クラウド入力機能は標準設定でOFFになっています）。つまり、中央省庁のクライアントPCでBaidu IMEを使用して機密文書を作成した場合、その機密情報がBaiduのサーバへ送信される可能性があったことになります。

　これを「危険だ」と判断したNISCは、両IMEの使用中止を呼びかけました。この“Baidu IME事件”に関する一連の報道には企業も大きな関心を寄せており、パロアルトネットワークスにも企業から数百件の問い合わせがありました。

「白のはずが黒だった」ことの衝撃

　プログラムを危険度に応じて「白（安全）」「黒（危険）」「グレー（安全か危険かが分からない）」といった形に分類してみます。キーロガーやワームといったウイルスはもちろん黒です。ピアツーピア（P2P）のファイル共有ソフトなどはグレーで、IMEは通常であれば白だと判断します。「白だ」と思って疑わずに使っていたものが、その仕組みをよく調べると、実はグレー（見方によっては黒）だった――。こうした驚きが、Baidu IME事件に関する報道を大きな話題にしたと考えられます。

　Baidu IMEは、中国Lenovo製のクライアントPCにプレインストールされていたり、中国Kingsoftのセキュリティ製品「KINGSOFT Internet Security」やオフィススイートの「KINGSOFT Office」といった他のアプリケーションにバンドルされていたため、ユーザーがその存在を明確に認識しないまま使用しているケースもありました。

　Baiduの発表によると、Baidu IMEは2011年12月の時点で180万人が利用しています。

表だった実害はゼロも「Baiduに情報提供」を問題視

　実は“Baidu IME事件”では、情報が悪用されたといった実際の被害は確認できていません。ただ、「Baiduに情報が送られること自体が情報漏えいであり、問題である」と考える政府関係機関や民間企業が多いのも事実。こうした機関や企業の場合、Baidu IMEの使用禁止に踏み切るところも少なくありません。

　Baiduは前述の通り検索エンジンでは世界2位と、ITサービスの大手といえるベンダーです。こうした大手ベンダーのサーバに対しても、機密情報を送ることを「まずい」と考えるのであれば、注意すべきアプリケーションはBaidu IME以外にも数多くあるはずです。例えば、オンラインストレージに機密ファイルを保存することも、自動翻訳サイトや文章校正サイトに機密文書の一部をコピーするのも、Baiduへの情報送信と同様にリスクとなります。

正規アプリがマルウェアをダウンロードする“GOM Player事件”

　一方のGOM Playerは、幅広い形式のファイルを簡単に再生できることから大変人気がある、韓国GRETECHの無料動画再生ソフトウェアです。同社の発表によれば、今までに5億本以上ダウンロードされており、各メディアでも高い評価を受けています。GOM Player自体は正規のソフトウェアであり、情報を無断送信することはありません。

　では、“GOM Player事件”では何が起きたのでしょうか。本事件の発端となったのは、GOM Playerのアップデートサーバが不正アクセスを受けたことです。攻撃者は、ユーザーがGOM Playerをアップデートする際、攻撃用のWebサイトに誘導するようにアップデートサーバを改ざん。攻撃用Webサイトへアクセスしたユーザーの端末に、アップデートプログラムを装ったマルウェアをダウンロード、実行させる仕組みを埋め込んだのです。

　攻撃者が使ったマルウェアは、「GOMPLAYERJPSETUP.EXE」という日本語版GOM Playerのアップデートプログラムを偽装したもの（以下、GOM Playerマルウェア）でした。他の言語版では影響が確認されていません。また、特定のIPアドレスからのアップデートの際のみ第三者サイトに誘導していたことから、日本の特定組織を狙った標的型攻撃の可能性もあるとみられています。

　GOM Player事件では、正規のソフトであるGOM Playerが、マルウェアをダウンロードするための仕掛けである「ドロッパー」として使用されました。ドロッパーを使った攻撃は、非常に高度で危険です。ドロッパーは、従来のセキュリティ製品の検知を回避し、非常に高い成功率でマルウェアのダウンロードやその実行をします。こうした状況を受け、セキュリティベンダー各社は自社のセキュリティ製品に、マルウェアそのものに加えてドロッパーを検知する仕組みを搭載し始めています。

GOM Playerマルウェアの実際の被害は

　国立がん研究センターは2014年2月、GOM Playerマルウェアに感染していたことを公表。端末からの不審なアクセスが発生していたと説明しています。また日本原子力研究開発機構（JAEA）は、GOM Player事件との直接の関係は明らかにしていないものの、高速増殖炉原型炉「もんじゅ」において、動画再生ソフトウェアのアップデート直後に不審な通信の発生を確認したと公表しています。

　もちろん他にも、被害を発表していなかったり、被害に気づいていない組織もあると考えられます。GOM Player事件は、完全なマルウェアによる情報漏えいに直結する事件という点で、Baidu IME事件とは異なります。

“危険な正規アプリ”は他にも

　Baidu IME事件とGOM Player事件。この2つの事件に共通しているのは、「正規」だと思っていたアプリケーションが、ある日危険なものだと判明したり、危険なものに変わったことでした。そして忘れてはいけないのが、こうした事件が発生する可能性があるのは、Baidu IMEとGOM Playerに限らないということです。

　本連載では、あくまでもアプリケーションのセキュリティを考える一例として、Baidu IME事件やGOM Player事件を取り上げます。各事件で実際に起こった各アプリケーションの挙動を詳しく解説し、従業員がアプリケーションを利用する上で、組織はどこに気を付ければいいのか、具体的に何をすればいいのか、ネットワークセキュリティ製品やクライアントセキュリティ製品が果たす役割とは何かを解説していきます。

　また、リモートアクセス用の正規のアプリケーションがマルウェアに乗っ取られたり、正規のモバイルアプリケーションの追加モジュールが実はマルウェアだったり、Googleの正規アプリケーションストアである「Google Play」にマルウェアが登録されたりといった事例が既にあります。こうした事例についても、本連載で触れていきたいと考えています。