- 『ファンシー・ベア、フィッシングに挑む：5つの驚異的なハッキング事件が明かす、情報化時代の闇の歴史』 スコット・J・シャピロ著（ファラー・ストラウス・アンド・ジルー社、 432 ページ、30ドル）
イェール大学で法学と哲学を教えているスコット・J・シャピロ氏は、コンピュータサイエンスの分野でも非常に優れたバックグラウンドをお持ちです。また、ご自身の経験に基づいた、ハッキングに対する極めて人間味あふれる見解をお持ちです。
彼は 10 年間、プログラマーとして働いていました。 彼は自分のコンピューター関連のビジネスを営んでいました。 彼は学術誌『 Theoretical Computer Science』に論文を発表しました。 しかし、ハッキングについて学びたいと思ったとき、それは事実上不可能だとわかりました。 彼がそのやり方を習得するまでには、何年もかかりました。
彼の新著『 Fancy Bear Goes Phishing: The Dark History of the Information Age, in Five Extraordinary Hacks』（）は、ハッキングがどのように行われるのか、なぜインターネットはこれほどまでに安全でないのかと疑問に思っていた、彼のような人々に向けて書かれたものです。
国家、、 悪質なサイバー犯罪組織、、 不満を抱く従業員、、そして 反社会的な10代の若者たち など、あらゆる主体から企業に対してサイバー犯罪の猛攻が繰り広げられている現状を鑑みると、彼の著書がこれほど重要なタイミングで出版されたことはありません。
今日のサイバーセキュリティに関するニュースは深刻なものですが、シャピロ氏は、脅威を現実的に描きつつも、軽妙で、時にはほとんどコミカルとも言えるようなタッチで描く本を書きたいと考えていました。 彼は、ハッキングの歴史には、皆さんが想像する以上に多くの失敗や失態が散見されると指摘しています。 （企業経営者の皆様へ： の脅威ハンティング、 のサイバーリスクスコアリング、従業員向け の研修プログラム、およびその他のスマートな サイバー衛生管理への投資は、いつ始めても遅すぎることはありません。）
『Fancy Bear Goes Phishing: 』では、5件の悪名高いサイバー攻撃の背後にいるハッカーたちの世界と心理に迫ります：
- 「モリス・ワーム」— 1988 年に発生した、世界初の大きなサイバーセキュリティ事件。ここでは、まるでミステリー小説のようにその経緯が語られています。 国家安全保障局（NSA）のサイバーセキュリティ責任者を父に持つ大学院生が、自身のコードに犯したたった一つの大きなミスによって、インターネットをダウンさせてしまいました。
- 「ブルガリアのウイルス工場」— 1990s年、ブルガリアはウイルス開発の中心地となり、世界は初めて、コンピュータウイルスに起因するサイバー攻撃の影響を目の当たりにしました。
- パリス・ヒルトンの携帯電話ハッキング事件 —実際にその携帯電話を手にしたこともないのに、どうして他人の携帯電話の中身を見ることができるのでしょうか？ Cloud computing was a new concept in 2005 when a Massachusetts teen attacked the socialite’s cellphone address book and exposed contact info for celebrities like Eminem and Anna Kournikova. シャピロ氏は、そのハッキング事件に関する新たな情報を明らかにしました。
[関連記事：今日のハッカーに先手を打つためには、企業はマルチクラウド環境全体における可視性とサイバーセキュリティを強化する必要があります]
- Fancy Bear’s Hack of the DNC—The spearphishing campaign by Fancy Bear, a notorious Russian cyber gang, led to the publication of 20,000 emails from the Democratic National Committee (DNC) in 2016.
- 「ミライ・ボットネット」—ゲーム『マインクラフト』への執着をきっかけに、2つの10代のグループが自らのコンピュータースキルを誇示し、ハッキングされたコンピューターの集団、いわゆるボットネットを構築しました。そして 2016 年、彼らはそのボットネットを駆使して、最も有名で重要なウェブサイトのいくつかを、意のままにアクセス不能に陥らせました。
独占インタビューの中で、『 』のフォーカル・ポイントである 氏は、シャピロ氏に取材を行い、同氏がこうしたサイバー攻撃の主な要因として挙げている「アップコード」について、その実態を詳しく聞き出しました。 結局のところ、彼は、ハッキング（およびハッカー）について、まったく新しい視点で考える必要があると述べています。
（このインタビューは、内容をより分かりやすくするため編集されています。）
あなたはイェール大学のサイバーセキュリティ研究所の所長ですが、哲学の博士号をお持ちで、法学も教えていらっしゃいます。 ご自身の経歴は、サイバーセキュリティへの取り組みにどのような影響を与えたり、方向性を決めたりしていますか？
私たちは、サイバーセキュリティを、主に技術的な解決策を必要とする技術的な問題であるかのように捉えがちです。 しかし、研究によれば、法律が人々の行動におけるインセンティブをどのように変えるか、また、なぜ人々が適切な行動や不適切な行動をとるのかが明らかになっています。 当然の疑問として、サイバーセキュリティを「人間の問題」として捉えるべきではないでしょうか？
「サイバーセキュリティとは、ルールに従うことです。そのルールは人間によって作られ、人間の行動に影響を与えるものです。」
サイバーセキュリティ とは、ルールに従うことについてです。そのルールとは、人間によって作成され、人間の行動に影響を与えるものです。 私はそれらのルールを「アップコード」と呼んでいます。 「アップコード」とは、キーボード上の指先より上にあるコードのことを指し、「ダウンコード」とは、指先より下で生成されるコンピュータコードのことを指します。 本書で私が示そうとしているのは、これらすべてのハッキングで悪用されている技術的な脆弱性は、実際には、アップコードに内在する政治的、法的、社会的、そして心理的な脆弱性にその根源があるということです。
あなたが指摘されている重要な点は、アップコードがダウンコードの生成に影響を与えるということです。 ハッキングの被害に遭っている技術の開発者たちに、そのことをどのように理解してもらうのでしょうか？
そうではありません。 企業や経営陣、連邦議会、政府機関からの賛同を得なければなりません。 こうした方々には、開発者がサイバーセキュリティ対策に取り組む際に直面する のインセンティブを変えるために、自分たちに何ができるかを考え始めていただく必要があります。。
[関連記事：企業のリーダーたちに「もっと行動せよ」という2語のモットーを掲げる、米国の新たなサイバーセキュリティ戦略について、企業が知っておくべきこと]
このアプローチの魅力的な点は、サイバーセキュリティやハッキングについて再考する際に、非常に多くのアプローチの仕方があるということです。 開発者の育成方法を工夫すれば、直接それを行うことができます。 ソフトウェア企業に対する責任を強化することで、従業員に対して特定の方法でコーディングするよう指示を出すよう促すことができます。 もし責任を問われれば、彼らは行動を変えるでしょう。
あなたのような確かな技術的バックグラウンドをお持ちの方でも、たとえ 10 年間もプログラマーとして働いてきたとしても、ハッキングの方法を習得するにはかなりの時間がかかったのですね。 なぜ、10代の若者たち――少なくともこの本に登場する若者たち――があれほど簡単に身につけたことを、私が学ぶのにこれほど苦労したのでしょうか。
どこで学べばいいのか、わかりませんでした。 その分野に興味を持ち始めた頃、私が最も自然にやったことは、本を読んだり、学位論文を読んだり、論文を読んだりすることでした。 私は情報を探し回っていましたが、それがどこにあるのか気づいていませんでした。 YouTubeやハッカーの掲示板を通じて、オンラインでハッキングの方法を学ぶことができます。 私が勉強していた頃、ハッキングはまだ成熟した分野ではありませんでした。
本書では、5つのサイバーインシデントを取り上げることにしました。 なぜ、まさにそれらのハッキング手法なのでしょうか？
本当は 25 のハックを紹介したかったのですが、エージェントから「25 は多すぎる」と言われたため、5つに絞りました。 しかし、私が選んだ5つの事例の根拠は次の通りです。これらはすべてサイバーセキュリティ界隈で広く知られており、さまざまなスタイルのハッキングを代表するものとして認識されているからです。
「実のところ、ハッカーも私たちと同じような人たちだと思います。」
自己複製する「モリス・ワーム」は、 1980s年の後半に発生した最初のハッキング事件であり、そこには実に謎めいた要素がありました。 ブルガリアのウイルス工場を取り上げたのは、 1990s年当時、なぜブルガリアが「世界のウイルスの本拠地」となっていたのかを理解したかったからです。 The Paris Hilton story is to show how you can get so close to the phone of one of the most famous people in the world in the early 2000s, demonstrating risks in the cloud.
『ファンシー・ベア』は、彼らがどのように犯行に及んだかというよりも、いかにしてその罪を免れたのか、そしてなぜFBIがDNCに対し、ロシア勢力がネットワークに侵入していたことを伝えるまでにこれほど時間がかかったのかという点に焦点を当てた作品です。 そして最後に、アメリカの10代の若者3人とイスラエルの10代の若者3人が対立しているという「ミライ」ボットネットの件に、興味を持たないわけにはいきませんよね？
これらの物語は時系列順に紹介されていますが、それだけでなく、それ自体が素晴らしい物語でもあります。
この本は、サイバーセキュリティやハッキングに関する一般的な誤解に焦点を当てています。 この本を通じて、読者にどのようなことを感じてほしいとお考えですか？
人々はハッカーについて、彼らが「一匹狼」であり、精神的な問題を抱えており、制御のきかない天才であるといった、誤った認識を持っていると思います。 実のところ、ハッカーというのは、あなたや私と同じような人たちですが、何らかの困難に直面しているのだと思います。
ハッキングの圧倒的多数は、金銭的な動機によるサイバー犯罪です。 ハッカーたちは、あなたのことは気にかけていません。 しかし、あなたの役割は、彼らに簡単にやらせないよう注意することです。なぜなら、ハッキングに手間がかかればかかるほど、彼らの得られる利益は少なくなるからです。 彼らはあなたのクレジットカードの情報を知りたがっているだけで、ウェブカメラを通じてあなたが夕食を作る様子を見たいわけではないのです。
その他のオススメ記事
他の経営幹部、企業のリーダー、セキュリティチーム、そしてテクノロジー愛好家の方々が、どのような記事を読んでいるか（あるいは執筆しているか）を知りたいですか？ 詳細はこちらをご覧ください：
- おすすめの新しい（サイバー関連）読み物：『スター・ウォーズ』から学ぶサイバー脅威ガイド 本書： 『THREATS: What Every Engineer Should Learn From Star Wars』 （Wiley刊、 352 ページ、25ドル）
著者： アダム・ショスタック
