Microsoftは4月8日（米国時間）、2001年10月にリリースされたWindows XPの長い歴史に幕を閉じた。また同日、賛否両論のあるリボンレイアウトを採用しない最後の製品「Microsoft Office 2003」のサポートも終了した。

　Microsoftは2007年からWindows XPのサポートが終了することを警告していた。Windows XPユーザーに十分な警告を行い、サポート期間を1度延長したにもかかわらず、このOSは世界中の家庭や職場で使われ続けた。調査会社の米Net Applicationsが最近発表した数値によると、世界中で使われているPCの4分の1以上がいまだにWindows XPだという。さらに、脆弱性管理を行う米Qualysは、約14％の企業が多かれ少なかれWindows XPを使用しているという試算を最近公表した。

　このように大きな市場シェアを獲得した結果、Windows XPのサポート終了日は長らく心配の種となっていた。サポート終了日以降、攻撃者がWindows XPの脆弱性を狙ってゼロデイ攻撃を企てていることを憂慮する声もある。

　だが、この懸念に待ったを掛ける専門家がいる。

　フィンランドのヘルシンキを拠点とするセキュリティ会社F-Secureでセキュリティアドバイザーを務めるショーン・サリバン氏は、Windows XPへのゼロデイ攻撃が急増する可能性を重要視していない。攻撃者間の激しい競争においては、「価値のある」脆弱性をいつまでも大事に取っておくことは初期投資においてリスクになるという。だが、国家の情報機関が対象の場合は例外だとも述べた。

　「脆弱性にパッチが適用されなくなるまで待つよりも、すぐにゼロデイ攻撃を仕掛けて利益を得る方が得策だ」と同氏は語る。

パッチのリバースエンジニアリングで脅威にさらされるWindows XP

　サポート終了後すぐにWindows XPが新しい攻撃の集中砲火を浴びることはないかもしれない。だが、犯罪者が今後もWindows XPをターゲットにしないわけではないとサリバン氏は企業に警告する。むしろ、多くのエクスプロイトキットの開発者は「Patch Tuesday」（米国時間の毎月第2火曜日にリリースされるMicrosoftの定例パッチ）のリリースを待ち、Microsoftが「Windows 7」と「Windows 8」で修正した脆弱性をリバースエンジニアリングする可能性が高いという。

　トレンドマイクロで脅威コミュニケーションマネジャーを務めるクリストファー・バッド氏はサリバン氏の意見に同調している。Windows XPを使用している企業が4月8日以降の数週間で大きなリスクにさらされる可能性は低いと強調する。

　バッド氏は、Microsoft Trustworthy Computing Groupで働いていた際に、Windows XPの最初のセキュリティ情報を記述した経験の持ち主だ。同氏によると、脆弱性をリバースエンジニアリングする目的で攻撃者が「Patch Tuesday」に期待していることはMicrosoftでは周知の事実だという。そもそもパッチを適用しないユーザーもいるが、ユーザーがソフトウェアにパッチを適用するにはある程度の時間がかかることが多い。つまり、パッチが存在する脆弱性を攻撃者のエクスプロイトキットに追加する価値はあるというわけだ。

　最近、同氏は、この潜在的な問題の規模を測るために調査を行った。2013年にMicrosoftがパッチをリリースしたWindows XPの脆弱性を全て分析し、その不具合のうち幾つがWindows 7や「Windows Vista」にも存在するのかを調べた。このような脆弱性は2013年だけで88個見つかった。今後、攻撃者がWindows 7とWindows 8の脆弱性のリバースエンジニアリングに成功する可能性は高いと同氏は警告する。

　攻撃者が「Patch Tuesday」にまず行うのは、Windows XPで脆弱性を悪用できるかどうかを確認することだと同氏は予想する。「Windows XPに同じ脆弱性がある場合、その脆弱性は永久に悪用できる。Windows XPには必ず攻撃されるという保証がついたようなものだ」

　米シカゴを拠点とする米Trustwave Holdingsでデジタルフォレンジックとインシデントレスポンスのディレクターを務めるクリストファー・ポーグ氏は、Windows XPをターゲットとする新しい攻撃がサポート終了直後に多発する可能性を完全には否定しない。だが、攻撃者がWindows XPを早急に悪用しようとしても、企業にはファイアウォールや侵入検知システムなどWindows XP搭載PCを保護するための多数の効果的なセキュリティコントロールの手段があると述べている。

　同氏はまだWindows XPから移行していない企業に、直近の脅威を過剰に恐れるのではなく徹底的なリスクアセスメントを行うようアドバイスしている。リスクアセスメントを行うと、考えられる3つの道のうち企業が選ぶべき道が明確になるという。その選択肢は「準備が整い次第Windows XPから移行する」「Microsoftとサポート延長の契約を結び、高くつくかもしれないコストを払う」「Windows XPがもたらすリスクは移行に掛かるコストよりも重大でないという決断を下す」のいずれかだ。

　「これは費用便益分析だ」と同氏はいう。「アップグレードのコスト」と「Windows XPのセキュリティ侵害シナリオが現実のものになる可能性とそれに伴うコスト」を天秤に掛けて決定するよう企業にアドバイスしている。OSをアップグレードしたとしても、攻撃がなくなるわけではない。

Windows XPの今後の脅威

　長期的に見ると、Windows XPとOffice 2003の脅威に関して明るい未来はないと専門家は警告する。

　Microsoft Trustworthy Computing Groupで製品管理ディレクターを務めるティム・レインズ氏は2014年4月に投稿したブログ記事で、複雑なWebベースの攻撃やありふれたフィッシング詐欺の電子メールなど、危険なWindows XPの脅威を幾つか示した。また、同社が「CryptoLocker」などのランサムウェアの増加を検知したことを受けて、レインズ氏は特に中小企業や消費者に注意喚起を呼び掛けている。ランサムウェアとは、犯罪者が被害者のシステムにある機密データを暗号化することで被害者から金銭を脅し取るマルウェアだ。

　Windows XPでは、今後発見される脆弱性にパッチを適用することはできない。F-Secureのサリバン氏は、数百万のWindowsユーザーに大きな損害をもたらした自己増殖型ワーム「Conficker」のような脅威がもたらされることが最も憂慮すべきシナリオの1つだと話している。

　「ワームが出現したという情報が公になった場合、Windows XPを使用している企業は深刻なトラブルに陥るだろう」と同氏は語る。

　攻撃者は、サポートの終了したOffice 2003に対して複雑な攻撃は避け、シンプルな攻撃を仕掛ける可能性が高い。Office 2003は、Windows XPや古いバージョンのInternet Explorer（IE）とセットで使われていることが多いと同氏はいう。米マサチューセッツ州のケンブリッジを拠点とする分析会社の米Forrester Researchが発表した最近の統計データでは、その予想が正しいことが証明されている。同社は2013年10月、155社のクライアントで現在導入されているオフィススイートを調査した。この調査では28％がいまだにOffice 2003を使用していることが明らかになった。

　多くの場合、非常に古いバージョンのIEも使用しているために状況はより悲惨だとサリバン氏は語る。また、政府機関の多くではITシステムの統一性を図るためにIEの実行が義務付けられているとも付け加えている。古いバージョンのIEや「Microsoft Outlook」では電子メールに添付されている「Microsoft Word」や「Microsoft Excel」のファイルは自動的に開かれる可能性がある。さらに、既定の設定では、添付ファイルに埋め込まれているFlashオブジェクトなどが自動的に実行されるようになっていることが往々にしてある。

　実際、2011年に米RSA（現EMCのセキュリティ部門）がハッキングされた悪名高い事件では、攻撃者がセキュリティベンダーのネットワークに足掛かりを得ようと、Excelドキュメントに埋め込んだ悪意のあるオブジェクトを使用していた。Windows XPを使用し続けるユーザーは米Googleの「Google Chrome」や米Mozilla Foundationの「Mozilla Firefox」といったIE以外のWebブラウザを使うことでそのような攻撃に遭う可能性を大幅に低減できる。だが、Windows XPを使用し続ける企業の大半では、そのような選択肢を取ることはできない。

　サリバン氏は次のように指摘する。「Windows XPを使用している企業では、恐らくWindows XPだけでなく社内で使用している全製品のサポート期限も切れていることが懸念される。そのような状態では、セキュリティを確保するのは非常に困難だ」