SIMカード情報の大量漏洩という悪夢

NSAが大手SIMカードメーカーのネットワークに侵入し、SIMカードを保護する暗号キーを大量に盗み出した――最近のエドワード・スノーデン氏の告発は、多くの人に衝撃を与えました。

gemalto-sim

米国家安全保障局（NSA）の内部告発者、エドワード・スノーデン（Edward Snowden）氏は数々の機密情報を暴露してきましたが、今回ほど衝撃的な内容はないかもしれません。NSAと、英国の情報機関である政府通信本部（GCHQ）がGemaltoのネットワークに侵入し、SIMカードを保護する暗号キーを大量に盗み出したというのです。その数は数百万とも、数十億とも言われています。

このような規模でSIMカードの情報が漏洩していたとなると、世界中の携帯通信システムの健全性が疑問視されることになります。あなたの通信の内容が監視されている、とまでは言いませんが、ボタンをクリックするだけで監視できる状態だったのです。

Gemaltoとは、モバイルデバイスのSIMカードを製造するグローバルメーカーです。Economistによると、Gemaltoは世界最大のSIMカード製造企業です。

この疑惑を最初に取り上げたThe Interceptの記事では、Gemaltoは年間20億枚近くのSIMカードを製造していると見積もっています。世界の人口が71億2,500万人、モバイルデバイスの数が推定71億9,000万台と考えれば、その規模を想像できるかもしれません。Gemaltoは、モバイルサービスプロバイダーのSprint、AT&T、Verizon、T-Mobile、など約450社と取引があるとされ、85か国で事業を展開し、40の製造工場を保有しています。

SIMは、Subscriber Identification Module（加入者識別モジュール）の頭文字を取ったものです。SIMカードはモバイルデバイスに差し込む小型の集積回路で、固有の国際移動電話加入者識別番号（IMSI）と、暗号化された認証キーが記録されています。IMSIと認証キーの組み合わせから、携帯電話が本人のものであることを確認します。ログインIDとパスワードのペアに似ていますが、ハードウェアごとに完全に異なるので変更はできません。

攻撃者がこれらの認証キーのマスターリストを手にすれば、そのリストの暗号化キーを使うSIMカードを入れたデバイスの音声通話やデータ通信を監視できます。今回の疑惑が事実とすれば、NSAとGCHQは捜査令状などの司法機関の承認を得ることなく、世界中の携帯電話の通話やデータ通信を監視できるということです。

技術系以外のメディアでは、メタデータに関連するNSAの活動が大きく取り上げられています。しかし、本当に厄介なのは、今回のような情報漏洩や、疑似乱数生成器への不正アクセスです。メタデータからは、ある人物の位置情報、交友関係、さらには人となりまで知ることができます。SIMカードや暗号化プロトコルに対する大規模な攻撃は、交わされる通信の内容を、平文で、実際に目にすることができます。位置情報やデバイスの通信情報から多くのことを推測できますが、平文の通信内容を推測する必要はありません。すべてがそこにあるのです、リアルタイムに。分析など必要ありません。

The Interceptが公開した、元NSA契約社員のスノーデン氏が盗んだとされる機密文書の中で、NSAは次のように述べています。「（Gemaltoの）複数の機器で埋め込みに成功した。ネットワーク全体を掌握できたと思われる」

もっとも、プライバシーと携帯通信のセキュリティだけが問題ではありません。財政上の大きな問題も隠れています。アメリカ自由人権協会の技術スタッフであるクリス・ソグホアン（Chris Soghoian）氏と、ジョンズ・ホプキンス大学の暗号の専門家であるマシュー・グリーン（Matthew Green）氏がThe Interceptの記事で述べたところによると、SIMカードは個々の通信を保護するためではなく、課金処理の合理化と、契約初期のユーザーによる詐欺行為を防止するために設計されました。発展途上国の一部では、時代遅れで脆弱な第2世代の携帯ネットワークに大きく依存しており、多くの利用者は、送金する際や、広く利用されているM-Pesaのような小額取引サービスを利用する場合、SIMカードに頼らざるを得ません。

Gemaltoへの攻撃によって、モバイルデバイスやSIMカードへの依存を強めるグローバル通信インフラの健全性が脅かされる可能性も

これは発展途上国の財政上の問題だけではありません。Gemaltoは、チップ＆ピンカードやEMV決済カード（ヨーロッパの主要な決済手段）のマイクロチップを製造する大手メーカーです。これらのカードもハッキングされる可能性があるということです。The Interceptによれば、Gemaltoのチップは、入館用のトークン、電子パスポート、IDカードのほか、BMWやAudiなど高級車の鍵などでも使われています。Visa、MasterCard、American Express、JP Morgan Chase、Barclaysのチップ＆ピンカードをお持ちの場合、カード内のチップがGemalto製の可能性が高く、暗号キーをハッキングされるかもしれません。

種々の疑惑や噂される機密文書の報道にもかかわらず、自社ネットワークは安全であり一度も侵害されたことはないと、Gemaltoは断固否定しています。

同社の声明文には、次のように書かれています。「SIMの動作を実行する社内インフラストラクチャでも、銀行カード、IDカード、電子パスポートなどの当社製品を管理する別のセキュアネットワークでも、ネットワーク侵害は確認されていません。これらのネットワークは互いに独立しており、外部ネットワークと接続されていません」

ただし、同社は、過去にNSAやGCHQと思われる団体から仕掛けられたハッキングを阻止したことを認めています。

今回の疑惑やスノーデン氏による数々の暴露の中でひそかに厄介なのは、その文書が書かれたのが2010年だという点です。つまり、SIMカード疑惑は5年間も継続していただけでなく、技術自体も5年前のものということです。5年と言えば、コンピューターの世界では寿命です。

SIMカードのキーへの不正アクセスが私たちの集団としてのプライバシーや個人のプライバシーにもたらすリスクは、個人的問題の域を超えています。スノーデン氏の文書が真実であれば、この攻撃は国際関係にとっての悪夢です。2か月前、北朝鮮によるSony Pictures Entertainmentへの攻撃がどれほどの戦争行為であるかについてタカ派があれこれと議論を交わしていたことは、まだ記憶に新しいと思います。他の誰より北朝鮮が関与する可能性が高そうに見えたあの攻撃では、標的となった映画会社から映画の脚本やメールが漏洩しました。Gemaltoへの攻撃は、モバイルデバイスやSIMカードへの依存を強めるグローバル通信インフラの健全性を脅かすかもしれません。

ヒント
新着記事をメールでお知らせします