「スノーデン」を生んだ「NSA女性ハッカー」の「暴露」
2013年に米機密情報を暴露した元米中央情報局（CIA）職員のエドワード・スノーデンは、世界で最も有名な内部告発者の1人だと言える。
スノーデンが初めてインテリジェンスの世界に足を踏み入れたのは、2005年のことだった。彼は、米国家安全保障局（NSA）が関与する研究施設で警備職に就いたことを皮切りに、そのコンピューター技能が買われ、翌年にはCIAに採用された。2009年にCIAを退職した後は、NSAにコンピューター専門家を派遣していた米IT大手企業の「デル」に入り、NSAのコントラクター（請負職員）として東京・福生市にある米軍横田基地などに勤務した。
2012年3月、スノーデンはデルからの派遣という形でハワイのNSA支局に異動。そこで、米コンサルティング大手「ブーズ･アレン･ハミルトン」から派遣されていた女性NSA職員の目に留まり、NSAの工作チームのメンバーに抜擢された。この人事により、スノーデンはさらなる機密情報へのアクセスが許されるようになった。
それからしばらく経った2013年6月、スノーデンは突然、香港に出現。米政府の世界的な監視活動をはじめとするNSAの機密情報をメディアで大暴露したのだった。
当時、非難の矛先は、スノーデンを重用したこの女性職員にも向けられたという。国家を裏切ったスノーデンに、より機密性の高い情報を扱えるようにした張本人だからだ。
UAEが米国人にもハッキング
それから5年――。自身もハッカーであるこの元NSA女性職員が今、メディアのスポットライトを浴びている。
彼女は1月、英『ロイター通信』に実名を出して登場。アラブ首長国連邦（UAE）が、自国の反体制派だけでなく米国民まで、ハッキングを駆使した監視の対象にしていることを暴露した。このニュースは世界的にも大きく報じられ、波紋が広がっている。また、その衝撃的な内容は、国家機関がどのように個人などをハッキングしたり、監視したりしているのかも白日の下に晒した。
この女性の名は、ローリ・ストラウド（37）。高校卒業後に米軍に入隊し、無線諜報（シギント）部隊で活躍した後にNSAに入局。10年ほどのキャリアを積んで、同じ仕事でもより高給のブーズ･アレン･ハミルトンに移籍し、コントラクターという身分になってNSAで勤務を続けた。そんな折、冒頭のようにスノーデンと出会ってしまったのだった。
スノーデンにしてみれば、彼女に引き上げてもらったことで、さらに深い機密を盗むことができた。一方、彼女にとっては、スノーデンの犯罪が彼女自身の人生を変えたと言えるかもしれない。
もともとストラウドは教師になりたかったようだが、結局、サイバーの世界にどっぷり浸かっていったという。最近は、米民間銀行でデータサイエンティストとして、サイバーセキュリティ脅威分析の業務などを担っているようだ。3児の母でありながら、大学で博士号を取得すべく研究を続けている。
コードネーム「レイブン」
そんな彼女はスノーデン騒動の後、同僚だったNSA局員から、こんな話を持ち掛けられる。UAEの首都アブダビで、コントラクターとしてIS（いわゆる「イスラーム国」）のテロリストを追うサイバー攻撃の仕事を、年20万ドルの給料でやらないか、と。もともと米国も同様の工作を行っているし、NSAもこの工作を承認していると聞かされた彼女は、2014年5月からUAEに移り、勤務を開始したという。
彼女がUAEで従事していた工作の実態を知ると、国家が一体どこまで個人の情報を把握できるのかを垣間見ることができる。UAEが使っていたサイバー攻撃作戦のコードネームは「レイブン」で、「カルマ」という攻撃ツールが使われていた。
2016年に導入が始まったというこのカルマは、遠隔操作でiPhoneにアクセスできるというプログラムだった。しかも、一般的に知られるサイバー攻撃とは違い、電話番号や電子メールのアドレスなどをシステムに打ち込むだけで、遠隔操作が可能になる優れものである。電子メールでマルウェア（不正なプログラム）を組み込んだ添付ファイルを開かせたり、不正なリンクをクリックさせたり、という通常の攻撃手口を経る必要すらない。
この攻撃では、電子メールやテキスト・メッセージ、写真、位置情報までもが簡単に入手できる。その上、スマホ内に入り込むことで、各種のパスワードも取得でき、そのターゲットが使う他のパソコンやタブレットなどのデバイスにもアクセスできる。
要は、彼ら当局があなたの携帯番号またはメールアドレスさえ知ることができれば、その情報だけで、あなたのiPhoneを完全に乗っ取り、情報を抜き出し、遠隔操作することができてしまうのである。
不正侵入し放題の「抜け穴」
どうしてそんなことが可能なのか。
カルマは、iPhoneに搭載されている「iMessage（メッセージ）」アプリの「ゼロデイ（未知の脆弱性）」を悪用したものだ。ゼロデイとは、未だ公には知られていないセキュリティの「欠陥」を指す。普通なら、プログラムに欠陥が発見されると、メーカーなどがアップデートやパッチを公開し、ユーザーは最新バージョンにすることで、そうした欠陥を修復している。
だが、誰にも知られていない欠陥なら、メーカーも修復しようがない。そのため、悪意のあるハッカーにとっては、スマホやパソコンに不正侵入し放題の「抜け穴」となる。そんな欠陥のことを「ゼロデイ」と呼んでおり、サイバー攻撃を実施するのに強力なツールとなることから、専門家の間では「サイバー兵器」とすら認識されている。
ちなみにNSAやCIAも、独自でゼロデイを数多く隠し持っているし、地下空間であるダーク（闇）ウェブなどでは高値で情報が取り引きされている。
UAEはゼロデイを使った攻撃ツールのカルマによって、2016年から2年間で、中東と欧州の数百という政府関係者や、UAEに対して批判的な人々を監視してきたという。その被害者のなかには、カタールの首長であるタミーム・ビン・ハマド・アール・サーニやUAEの著名なジャーナリストなども含まれていた。言うまでもないが、これらのターゲットは、ストラウドが本来、ターゲットにするはずだった「テロリスト」ではない。
しかもこのレイブンには、何人もの有能な米国人ハッカーらが従事していたという。つまり、UAEは米国人を使って、米国人に対するスパイ工作までやらせていたことになる。しかも、匿名で利用できる仮想通貨ビットコインや偽IDを使って世界中にサーバーをレンタルするなどして、攻撃元がバレないよう周到に偽装工作もしていた。
ちなみに、レイブンに関与していたストラウドのような米国人ハッカーたちは、カルマが導入される以前、サイバー攻撃でターゲットに侵入するためのツールや技術を、UAE側に提供していた。また米国人ハッカーらが、ツールを開発したり購入したりしてUAE政府がリストアップした人物をハッキングし、監視活動についてのアドバイスもしていた。
どんなスマホでも侵入できる
彼らがツールなどの手配でも協力をしていたということは、米政府でも同じような手法で個人へのハッキングや監視を実行できるということを意味する。
米国では、令状なしに米国人のデバイスをハッキングしたり、コミュニケーションを盗み見たりするのは、原則的に違法である。だが、外国人が相手の場合は制限がないため、NSAなどは、中国やロシアといった敵対する政府などのネットワークの脆弱性を見つけ、情報や機密文書などを盗んだり、スパイしたりもしている。ストラウドも、NSA時代はそうした任務に従事していたという。
さらに言えば、筆者の取材でも、NSAには世界各地のネットワークや通信網にサイバー攻撃で入り込む任務にあたっているハッカーたちがいるとの話があがっているし、NSAがサイバー攻撃ツールの研究・開発をしていることも確かだ。
世界でも一目置かれる凄腕ハッカーを数多く擁するNSAのハッキング部門「テイラード・アクセス・オペレーションズ（TAO）」も、世界中で暗躍している。もちろん、米国のNSAやCIAのハッキング部門なら、どんなスマホでも侵入することができると考えていい。私たちが日常的に使う、暗号化されたいくつものメッセージングアプリですら、彼らなら突破できるとも言われている。
もっとも、現在までのカルマについての報道によれば、カルマといえども万能ではない。現時点ではアップル社がソフトウェアをアップデートしたことで、それまでのようにiPhoneに対して「やりたい放題」にはできなくなっているという。
さらにカルマでは、アンドロイドがインストールされたスマホには侵入できないらしい。こう書くと、iPhoneしか監視できないのなら意味がないのではないか、という声も聞こえてきそうだが、実のところUAEは、世界的にも批判されている他の監視ソフトなども導入し、そうした不備を補っている。
米国の安全に貢献
UAEが少なくとも、イスラエルのサイバー企業「NSO」の「ペガサス」と呼ばれる監視ソフトや、英防衛最大手「BAEシステムズ」の「エビデント」という監視システムを導入していることは、すでに明らかになっている。
これらの監視プログラムによって、iPhoneのほかにアンドロイドや様々なパソコン、電子メールサービスも監視対象にしているはずだ。そうして引っ張った個人情報から、ほかのプログラムを駆使してどんどん監視網を広げることもできるはずだ。中東の小さな国であるUAEは、強大な監視網を敷いているのである。
とにかく、世界では個人に対する監視がこうして現実に行われている。そしてもはやスマホは簡単に当局などによって侵入されてしまうし、暗号化が売りのメッセージングアプリですら、情報機関の手にかかれば侵入も不可能ではない。もちろん日本も決して対岸の火事ではない。こうしたデバイスやプラットフォームを使用している以上、誰もが標的になる可能性があるのだ。
ストラウドは2017年、レイブン作戦が米国民をもターゲットにしているとの確証をもったことで、UAEでの仕事を辞した。米国に帰国し、米連邦捜査局（FBI）にその実態についてすべてを話したという。
5年前、機密情報の暴露で米国を危険に晒したスノーデン。彼を世に送り出した責任の一端を感じていた彼女は、テロリストとは言い難い米国人を不正に監視するUAEのサイバー攻撃の実態を米当局に暴露することで、米国政府ひいては米国民の安全に貢献した。さらに国家の監視実態を詳細に明らかにしたことも、多くの人にとって警鐘となる。
今回の実名による暴露は、ストラウドにとって「贖罪」の意味があったということだろう。
