McAfeeのセキュリティ研究機関「McAfee Labs」は、2014年9月に発表した2014年第2四半期の脅威リポート「McAfee Labs Threats Report: August 2014（McAfee Labs脅威レポート: 2014年8月）」で、パッチが適用されておらず、Heartbleed脆弱性があるWebサイトがいまだに30万サイト以上あるとの推計も紹介している。サイバー犯罪者は、こうした無防備なWebサイトのリストを新たな攻撃の標的リストに転用しているという。

　McAfeeはHeartbleedについて、2013年の年末商戦期に米小売大手Targetで発生したデータ侵害事件以来、「最も重大なセキュリティ問題」だと指摘する。Heartbleedの影響を受けるシステムを保護するためのツールは数多く提供されている。にもかかわらず、まだパッチが適用されていない多くのアプリケーション、Webサイト、デバイスは、ほぼ確実に攻撃されることになるとMcAfeeは警告する。「Heartbleedの影響が尾を引き、新たなサイバー犯罪の機会が残ってしまっているようだ」と同社は述べる。

　「CVE-2014-0160」として知られるHeartbleedが2014年4月7日（米国時間、以下同）に明らかになった後、ベンダーやセキュリティ専門家は無料ツールなどの幅広いセキュリティリソースをすぐに公開した。

　Heartbleedは、OpenSSLの特定のバージョンに存在する。OpenSSLでは、TLSの拡張機能である「Heartbeat」を使い、クライアントとサーバ間の通信が可能かどうかを確認する。攻撃者がHeartbleedを悪用すると、不正なHeartbeat要求の送信で、メモリ内のデータへアクセス可能になる。

　商用サーバで広く使われているOpenSSL。McAfeeは、TLSを使用するWebサイトの17％がHeartbleedの影響を受けたと推計する。中には、閲覧数がインターネットで最大級のWebサイトも含まれると説明するが、その名前は明らかにしていない。

Heartbleedへの関心は薄れている？

　McAfeeはリポートで、Heartbleedの発覚後におなじみの展開が見られたと報告する。Heartbleedの発覚が広く報じられたことを受け、影響を受けるWebサイトを保護するための無料のツールやリソースが直ちに多数公開された。それらは当初は活発に利用されていたものの、急速に下火になっていったようだ。

　例えば、McAfeeの無料スキャンツール「Stinger」は、Heartbleed発覚から1週間後の2014年4月14日と翌15日には、いずれも20万回以上利用された。だがその使用回数は、16日から大幅に減少。18日には5万回を下回ったという。

　またMcAfeeによると、コードリポジトリサービス「GitHub」で提供されている無料ツール「heartleech」は、Heartbleedをテストし、漏えいしたデータを保存して秘密鍵を分析できる。

　Heartbleed対策に役立つこうしたツールが広く公開されたものの、間もなく「Project Un1c0rn」のような悪意あるツールも登場した。Project Un1c0rnでは、Heartbleed脆弱性がある公開WebサイトのIPアドレスを検索でき、攻撃者は検索結果を標的リストとして使用可能だ。

　「世界の主要WebサイトのほとんどはHeartbleedパッチが適用されているとみられる。だが小規模Webサイトのオーナーの多くは、Webサイトに脆弱性があることをまだ認識していない」と、McAfeeはリポートで指摘している。

「潜在的に脆弱な標的」がいまだに膨大

　McAfeeは、Project Un1c0rnを使って検索したところ、「潜在的に脆弱な標的」が2440件見つかったと報告している。一方、米Errata Securityのセキュリティアナリスト、ロバート・グレアム氏は、依然として脆弱なWebサイトの数は30万サイトに上るだろうと指摘する。

　鍵管理技術を提供する米Venafiは2014年7月に発表したリポートで、Heartbleed脆弱性があった「Forbes Global 2000」（米誌「Forbes」が発表した世界の有力企業2000社）の企業のホスト46万台のうち、99％はパッチを適用済みだが、そのほとんどにおいて、新しい暗号鍵の生成、新しいセキュリティ証明書の発行、古い証明書の破棄のいずれかが行われていないと報告した。Heartbleed脆弱性を完全に解消するには、これら全てが必要だという。

　グレアム氏は2014年6月21日に公開したブログ記事で、Errata Securityは、Heartbleedの発覚直後に約60万台のシステムでこの脆弱性の存在を確認したと述べた。その1カ月後の5月上旬に調査したところ、脆弱性のあるサーバは31万8239台に減少していたが、6月下旬の調査では、依然として30万9197台に脆弱性があることが分かったという。

　同氏はこの調査結果を次のように分析している。「人々はパッチを当てようと試みることさえやめてしまったらしい。今後は古いシステムの入れ替えに伴って徐々に減少するだろうが、今から10年たっても、基幹システムを含む何千台ものシステムにHeartbleed脆弱性が存在し続けるだろう」