工藤伸治のセキュリティ事件簿シーズン5 「ワンタイムアタッカー」第2回「個人情報窃取無料サービス」

＞＞第 1 回から読む

第二章　ワンタイムアタッカー

工藤伸治は、朝からいやな予感がしていた。まず、早朝に電話が鳴った。工藤が寝ぼけ眼で携帯を見ると、いつもの名前が表示されていた。いまだにバブルのかぐわしい匂いを漂わせる工藤伸治のエージェント。

「工藤ちゃん、お仕事です。いやいや朝から売れっ子はつらいですね」

「だから、そのちゃんづけはやめろって言ってるだろ」

「ああ、すいません。クセでして……工藤さん、工藤さん…これでいいですか？」

「じゃあ、そういうことで」

「あっ、切らないでください。仕事ですってば、『ワンタイムアタッカー』ってご存じですか？　それを使われて取引先のリストが流出したんですって」

「ワンタイムアタッカー」は、最近急激に増加しているツイッターを利用したサービスである。第三者の個人情報を盗んでくれるとんでもないしろものだ。特定のアカウントと相互フォローになり、盗みたい相手のツイッターアカウント、メールアドレス、フェイスブックアカウントを入力する。全てわからなくても、最低ひとつわかっていれば大丈夫。それと報告を受け取るための自分のメールアドレス。これらをツイッターのDMで「ワンタイムアタッカー」のアカウントに送る。すると、あとからわかったものをメールで送ってくれるという便利で、犯罪促進に役立つ、危険なサービスだ。

「『ワンタイムアタッカー』の主宰者は捕まえられないよ。盗まれたデータを取り戻すとか、消去するのも無理」

工藤は即座に答えた。

──　あれは巧妙に作られている。しがない一介のサイバーセキュリティコンサルタントで歯が立つようなしろものじゃない。

工藤はそう考えていた。触らぬ神にたたりなしというわけだ。いまどきのサイバー犯罪は、調べてみると犯人は某国の軍だったとか、諜報機関だったとか、当たり前にある。深入りすると寿命を縮めることになりかねない。そうでないにしても、それまでかけた労力が無駄になる可能性は少なくない。危ないと思ったら、最初から手を出さない方が得策だ。

「それはいいんですよ。先方も無理ってわかってるみたいですから。それにもう盗まれた取引先の情報を悪用されて、改竄とかされまくってますんで手遅れです」

「じゃあ、なにをしろって言うんだ？」

「犯人を捕まえてほしいんですって」

「だから「ワンタイムアタッカー」の主宰者は捕まえられないって言ってる」

「いやいや、「ワンタイムアタッカー」に情報を盗むように依頼した人間をつきとめたいんですって」

「ええと……あれ？　それってできるんだっけかな？」

オレは一瞬考えた。それが間違いだった。

「できますよ。まずはくわしい話を聞いてみましょう。実はもうお宅の前まで来てるんです」

工藤は嘆息した。そこまでされたら、でかけないわけにはいかないような気がした。よく考えると単に自分の都合で勝手に動いているだけなのだが、なんとなくプレッシャーを感じてしまうのは工藤伸治といえども日本人だからかもしれない。

しかし「ワンタイムアタッカー」は鬼門だ。サービス内容はさっき説明した通りだが、ここには工藤のような仕事をする人間にはたまらなくいやな仕掛けが用意されている。

まず、主宰者の相手の所在がわからない。わかっているのはツイッターアカウントだけ。しかも工藤の知っている限り、百以上ある。普通のサービスならサーバの所在やなにか手がかりがあるものだ。だが、これはツイッターを介することで追跡を困難にしている。

さらにツイッター社にアカウントを停止されても大丈夫な仕組みを構築している。というとおおげさだが、ツイッターのDMを介して情報を受け取っているので、特定のアカウントである必要がない。だから停止されても次々と新しいアカウントを作ればいいのだ。

ターゲットが決まると、相手に専用のスパイウエアを送りつける。ここがもっとも危険なところだ。ターゲットアカウントひとつに対して、ひとつスパイウエアを作る。どうやればそんなことが可能なのか、オレにはよくわからないが解析した連中の話はこうだ。スパイウエアは情報を盗み出す部分と脆弱性を攻撃する部分がある。情報を盗み出す部分の中身は同じだが、毎回異なるコードになっている。おそらく複数のプログラムコード（言語も構造も異なる）を用意しており、それを随時組み合わせて生成しているのだそうだ。そして、脆弱性を攻撃する部分も毎回組合せが異なる。つまりなにがいいたいかというと、アンチウイルスにひっかかりにくくなっているし、回避するのはきわめて難しいということだ。

盗み出す情報は、特定のアプリケーションに紐付けされたものが中心だ。アドレス帳などがそうだ。それを毎回使い捨てのメールアドレスに送付する。そして律儀に依頼者にもちゃんと報告してくれる。それでいて無料だ。

盗んだ情報は、あとでまとめて業者に売り飛ばしている。いけないことだが、オレもたまに調査のために買うことがある。

主宰者は効率よく生きている個人情報を収集する方法として運営しているのだ。依頼者の個人情報も盗んでいるというオチもついている。

もちろんいろんなところから警告が出ているのだが、他人の個人情報をタダで盗めるというのは相当魅力があるらしく、利用者は途絶えることがない。誰だってツイッターで気になっている女の子の本名や住所、電話番号、メールアドレスまで手に入れられるなんて使ってみたくなるだろう。

＞＞つづき