データ漏えいが起こる仕組み自体を理解することは重要だ。脆弱性が現金に変わる仕組みは、一種の「バリューチェーン」である。一連の工程に関わる複数の当事者が各工程を担当し、その後に続く工程とつなげられるようにしている。

　本稿では、2018年に発表された調査論文「Economic Factors of Vulnerability Trade and Exploitation」（脆弱性の取引と悪用の経済的要因）を取り上げる。この論文はオランダのアイントホーフェン工科大学のルカ・アロディ氏が執筆したもので、エクスプロイト業界の現状について調査している。この論文を説明する前に、上で示したある種のバリューチェーンの経済性について考えてみる。

　エクスプロイト業界におけるバリューチェーンの各工程は、それぞれ異なるグループが担当している場合が多い。例として脆弱性を研究するグループは、侵入テストツール、公式発表やインサイダー取引を通じて手に入れた情報、リバースエンジニアリングを利用して脆弱性を見つけ出す。研究グループは、こうして手に入れた情報を「市場」で販売するか、その脆弱性を悪用した簡単なプログラムを開発する。このプログラムはエクスプロイトと呼ばれ、業界で売買される。エクスプロイトを電子メールで送り付けるために、悪意あるWebページ、ウイルス、ワーム、一連の操作を自動実行するプログラムなどの配信メカニズムを開発し、それを他のグループに販売するグループないし個人もいる。

エクスプロイト業界の実情

　エクスプロイトと配信メカニズムを購入し、それらを組み合わせて攻撃システムを作り出すグループもいる。この攻撃システムは、悪意あるプログラムに乗っ取られたコンピュータ群で構成されたネットワーク（botネット）へのホストの提供や、データの持ち出しなどの目的で利用される。最終的に、botネットや持ち出されたデータが市場で売買され、購入者は入手したデータをさまざまな手段で活用する。例えば、金銭を目的にDDoS（分散型サービス停止）攻撃を仕掛けたり、クレジットカード番号を利用して料金を請求したり、究極的にはエンドユーザーから金銭を直接盗んだりする。

　バリューチェーンに含まれる任意のエクスプロイト市場の状態から、エクスプロイト業界全体の健康状態が分かる。バリューチェーンのエクスプロイト一つ一つはもろい存在だ。つまり、バリューチェーン全体の価値を高めるには、新たな脆弱性の発見やエクスプロイトの開発を定期的にしなければいけない。アロディ氏の論文では、研究者の一人がある有名なエクスプロイト業界に潜入し、販売中のエクスプロイトで利用されている脆弱性の数を調べた。この情報から、幾つかの具体的な数値が得られた。

　研究者は、開発・販売されていたエクスプロイトを「CVE」「既知」「ゼロデイ」に分類し、その数をカウントした。

• CVEとは「Common Vulnerabilities and Exposures」（共通脆弱性識別子）の略称で、非営利団体MITREが管理している。CVEに分類される脆弱性は幅広いシステムに広がる著名なものといえる。具体的にはバッファーオーバーフロー攻撃やSQLインジェクションなどが当てはまる。
• 既知の脆弱性とは、ソフトウェアで発見され報告された脆弱性を指す。これに分類されている脆弱性の大半に対してはパッチが用意されているため、ソフトウェアを最新バージョンにアップデートすればエクスプロイトから保護できる。
• ゼロデイはソフトウェア開発者に知られていない脆弱性を意味する。従って、この脆弱性を防ぐためにソフトウェアへパッチを当てる方法は存在しない。

更新パッチの適用が大切

　論文で示されたサンプルでは、合わせて34種類の既知の脆弱性およびCVEのエクスプロイトが販売されていた。これに対し、ゼロデイの脆弱性を利用するよう設計されたエクスプロイトは1つだけだった。この34対1という比率は、パッチが利用可能になったときに即座に適用することの重要性を示している。エクスプロイト市場で購入できるものの大半は既知の脆弱性を利用しているという意味だ。事実、攻撃者はソフトウェアにパッチが迅速に適用されることはなく、そのエクスプロイトに基づく攻撃の効果はなくならないと考えている。従って攻撃者はパッチを適用していないソフトウェアを悪用し、既知の脆弱性を利用するエクスプロイトを進んで購入している。

　同論文では、「脆弱性が発見されてからその脆弱性がエクスプロイト業界で利用されるまでの時間が短くなっている」という興味深い調査結果も示されている。

　これは、バリューチェーンがデータやbotネットの購入者に付加価値をもたらしていること、場合によってはそのバリューチェーンが長く続くことを表す。データやbotネット提供までの時間が短くなっているということは、一連の工程における各段階の当事者が、発見された脆弱性をより効果的に利用できるツールやプロセスを構築していることを意味する。それにより、ツールがエクスプロイト業界へ出回るのが早くなり、結果的に、データを売買できるようになるまでの時間も短くなる。

　上述の研究から分かる大切な教訓は、「パッチの迅速な適用が重要だ」ということだ。脆弱性のバリューチェーンが行き着く先で痛い目を見てきた多くの企業と同じ運命をたどりたくなければ、バリューチェーンの効率向上に合わせ、パッチをより迅速に適用することが対策としては不可欠だ。