「これは非常に分散された巧妙な攻撃であり、数千万のIPアドレスが関与していた」。Dynの最高戦略責任者を務めるカイル・ヨーク氏は、10月21日の朝に始まったDDoS攻撃について報告した公式ブログ記事で、この攻撃をそう要約している。DNSサービスを手掛ける同社が攻撃の第1波を検出したのは同日午前7時ごろ（米国東部標準時、以下同じ）だった。同社は約2時間以内に顧客へのサービスを復旧できた。だが、正午ごろに攻撃の第2波が検出された。

　「第2波はよりグローバルだった（つまり、その影響が及んだのは米国東海岸のオペレーションだけにとどまらなかった）。だが、1時間強で攻撃を緩和でき、サービスは13時ごろに復旧した。ネットワーク全体が停止することもなかった。ただし、一部の顧客はその間、レイテンシ（遅延）の増加に見舞われていた」

　第3波の攻撃も試みられたが、Dynは、「顧客に影響を与えることなく、それを緩和することに成功した」とヨーク氏は説明している。

　Sophosの主席リサーチサイエンティスト、チェスター・ウィスニウスキー氏は、「Dynは、膨大な数（「数千万」もの）のIPアドレスによる攻撃への関与を発見した。その数は、ボットネットに組み込まれたモノのインターネット（IoT）デバイスの数を反映している可能性がある。だが、その数は、IPアドレススプーフィングによって膨大になっている可能性の方が高い」と指摘する。さらに同氏は、こう述べている。「技術的には、この攻撃は1台のデバイスから実行されていた可能性もある。ただし、多くの人は、攻撃に関与していたデバイスの数は5万台程度だろうと考えている」

多くの問題と、少ない答え

　DynのDNSサービスを狙った大規模DDoS攻撃が、数百万人のインターネットユーザーに影響したことははっきりしているが、専門家からさまざまな切り口による解説や指摘がなされており、この攻撃の全容を究明するには、まだ多くの問題の考察が必要となっている。

　「DynのDNSサービスに対するDDoS攻撃では、マルウェア『Mirai』に感染したIoTデバイスのボットネットが利用された」との見方が早くから出ており、これはFlashpointとAkamaiの両社によって確認されたと報じられている。

　「DynのDNSに対するDDoS攻撃に使われたインフラの一部は、マルウェア『Mirai』を悪用して作られたボットネットだった」と、セキュリティベンダーのFlashpointは述べている。しかし同社は、「Miraiボットネットが2016年10月21日のDynを狙った攻撃に使われたことは確認しているが、このボットネットは、『Krebs on Security』やOVH（フランスのインターネットサービスプロバイダー）に対するDDoS攻撃に使われたボットネットとは別物だ」とも指摘している。

　一方、F-Secureの最高リソース責任者を務めるミッコ・ヒッポネン氏は、DDoSをサービスとして提供するダークWebサイトに掲載された広告について、Twitterで次のように報告している。

Mikko Hypponen @mikko

問題の販売広告は、10月4日にAlphaBayに掲載された。Miraiのソースコードの公開から数日後のことだ。

7:05 AM - 24 Oct 2016

　この報告に続いて『Forbes』は、TorベースのAlpha Bay市場で、「7500ドルと引き換えに、10万ノードの強力なボットネットから1TbpsのDDoSトラフィックを送信する」サービスの売り手を発見した。『Forbes』は、この売り手は、Miraiボットネットコードがリリースされてから数日後に、「Miraiベースのボットネットを構築した」と主張したと報じている。

　この攻撃の裏で糸を引いていたのは誰か。情報セキュリティの専門家ブルース・シュナイアー氏は2016年9月、インターネットの弱点を探っているとみられる組織についてのブログ記事を公開した。「何者かがこの1～2年、インターネットの基幹部分を担っている企業の防御態勢を探っている」と同氏は指摘している。

　だが、シュナイアー氏は、Dyn DNSに対するDDoS攻撃についてのブログ記事で、「この攻撃はそうした調査の一環である」との見解や、「これは中国発の攻撃である可能性がある」との見解は示していない。「今になってみると、9月のブログ記事は、Dyn DNSに対する攻撃を予言していたように見えるとしても、この攻撃は、インターネットインフラについて探りを入れる目的での攻撃よりも、ブライアン・クレブス氏が運営するKrebs on Securityに対するDDoS攻撃と関連している可能性の方が高いと思う。それに、中国がインターネットに先制攻撃を仕掛けるとは思えない」

　Dyn DNSに対するDDoS攻撃に中国のハッカーが関与しているかどうかはさておき、Miraiベースのボットネットで使われたIoTデバイスの多くは中国製だ。『Reuters』の報道によると、防犯カメラ部品を製造する中国企業であるHangzhou Xiongmai Technologyは、米国で販売されている製品の一部をリコールすると表明したという。

　まだ答えが出ていない1つの重要な問題は、攻撃の主体だ。少なくとも攻撃の一部は、Miraiボットネットに組み込まれたデバイスを使って行われた。だが、攻撃の黒幕が誰かを示すものは何もない。