ソニー・ピクチャーズが“サイバー反撃”　議論を呼ぶ「バッドシード」攻撃とは

米Sony Pictures Entertainment（SPE）は、映画流出を招いたサイバー攻撃に対して反撃に出たとの見方がある。法律面や倫理面で疑問を投げ掛けているその反撃手法とは。

公開 2015年01月06日 08時00分

著者

Sharon Shea

[TechTarget]

印刷する

　2014年11月末に起きた米Sony Pictures Entertainment（SPE）への破壊的なサイバー攻撃をめぐるニュースが連日報じられている。SPEも手をこまねいているわけではない。同社は攻撃者から受けた被害に対抗するために“ハックバック”（逆ハック）することを決めたが、その手法は法律面および倫理面で疑問を提起するものだ。

　IT系メディアサイトのRe/codeによると、SPEは流出した自社の映画をホスティングしているWebサイトに対抗するために「Amazon Web Services」を利用しているという。Re/codeは、SPEの対抗手段を分散型サービス妨害（DDoS）攻撃だと呼んでいる。だがSPEの戦術に関するRe/codeの記事の説明から判断すると、SPEはDDoSではなく、流出データを判別しにくくする「バッドシード」と呼ばれる手法を用いているようだ。

「バッドシード」とは何か

　Re/codeの報道によるとSPEは、音楽業界や映画業界がコンテンツの海賊版の拡散を防ぐために用いてきたのと同様の手法により、盗まれたファイルと酷似した偽のファイルを大量に拡散しているようだ。偽装の範囲は、ハッシュ関数「SHA-1」（Secure Hash Algorithm 1）によるデジタル署名までに及ぶ。目的は、流出ファイルをダウンロードしようとする人を混乱させることだ。ファイル共有プロトコルの「BitTorrent」を使って盗まれたファイルへのアクセスを試みると、偽の「シード」（ファイルを保有する端末）に接続され、これによりシステムのリソースが奪われ、ダウンロード速度が著しく低下する。

　米Amazon Web Services（AWS）は「DDoSは当社のサービス利用規定で禁止している」として、SPEがAWSのサービスを使ってDDoS攻撃を実施中だという報道に反論している。「AWSでは当社のサービスの悪用を防止するために、さまざまな自動検知／抑止技術を利用している」とAWSは発表文で述べている。だがバッドシード攻撃が、AWSのサービス利用規定に違反するのかどうかは不明だ。

　SPEの反撃に関する報道が流れたのは2014年12月10日（米国時間）で、同社の映画、脚本、従業員の社会保障番号やメールなどが5回目に流出した後のことだ。SPEのネットワークから盗まれたデータは全部で100Tバイトに上ると報じられている。

　多くのメディア企業はSPEのものだとされるこうした行動を支持しており、「SPEが反撃したことで、すっきりした」と述べた企業もある。だがDDoS攻撃は従来、悪意を持ったハッカーがシステムやネットワーク、Webサイトを使用不能にするために用いてきたことを忘れてはならない。また刑事および民事上の犯罪になる可能性もある。

　SPEがDDoS攻撃ではなくバッドシード攻撃を実施していることが確認されたとしても、こうした行為は法律に照らし合わせると大いに疑問だ。サイバー法に詳しい弁護士のマーク・ラッシュ氏によると、バッドシード攻撃は米国のコンピュータ詐欺取締法に違反する可能性があるという。ダウンロードをする人が間違って偽のファイルを入手することを意図的に狙っているとみられるからだ。

　報道が事実だとすれば、盗まれた資産を保護するために、SPEでは自衛手段を講じているのだろう。だが上述のようなハッキング手段を用いることについては、倫理面での是非が長い間議論されており、その合法性をめぐる疑念は以前から指摘されてきた。自社の極秘情報の流出を防ぐという狙いは間違ってはいないが、非道義的な（かつ違法な）行為は、今回の問題そのものよりもさらに代償の大きい策になるかもしれない。

印刷する