脅威
早熟な我が子から「政治的動機に基づいたAPT攻撃って、なに？」と聞かれたらどう答えようか、考えてみたことはありますか？万一そう聞かれるようなことがあったとしたら、明快に答える方法があります。シャルル・ペローの『長靴をはいた猫』をサイバーセキュリティの視点で一緒に読んでみる、これです。言葉を話す猫や魔法使いといったおとぎ話要素を脇へ置いてみると、この物語が（架空の）政府に対する複雑なマルチベクトル型APT攻撃を見事に描き出したものであることが分かります。それでは、このサイバー犯罪を一緒にひも解いていきましょう。
物語は、ある粉ひき職人が3人の息子たちに遺産を残すところから始まります。分割された遺産として末の息子が受け取ったのは、「長靴をはいた猫」のコードネームで知られるハッカーの連絡先でした。口の達者なこの猫は、明らかに雇われハッカーであると見え、『シュレック2』では、トレードマークの長靴だけではなく黒い帽子（つまりブラックハット）も身に付けた姿で登場しています。猫は、クライアントである末息子と簡単なやりとりを交わした後、国の権力を掌握する卑劣な計画をひそかに企てます。
サプライチェーンの確立
- この猫はウサギを捕まえ、自分の主人であるカラバ侯爵からの贈り物として王様に献上する。主人というのは粉ひき職人の末息子のことで、「カラバ侯爵」は猫が作った架空の名前。
- 猫はヤマウズラ2羽を捕まえ、侯爵からの贈り物として王様に届ける。
- 猫は数か月間にわたり、侯爵からと称して王様に野生の獲物を贈り続ける。
作戦が開始されたとき、カラバ侯爵は無名の人物でした。準備段階の終わりごろには、信頼できるジビエのサプライヤーとして宮中で知られた存在となります。王室のセキュリティサービスは、明らかなミスを少なくとも2つ犯しました。第1に、未知の何者かが城に獲物を届け始めた時点で用心すべきでした。結局のところ、只より高いものはないのです。第2に、新しいサプライヤーと契約を結ぶにあたっては、最初に評判を確認しておくべきでした。
チャンスの扉を開くソーシャルエンジニアリング
- 次に、猫は「主人」を川へ連れて行き、服を脱いで川の中に入るように説得する。王様の馬車が通りかかったとき、猫は、カラバ侯爵が泳いでいる間に服を盗まれてしまったと言って助けを求める。
ここで猫は、同時に2つの手を繰り出しています。びしょ濡れの若い男は見知らぬ人物ではなく例の信頼できるジビエサプライヤーである、そして、ここまであなた様に尽くしてきた猫が今援助を必要としている、という主張。衣服が盗まれているために証明（または認証）できない、偽侯爵の身元。王様はこの単純なトリックにだまされ、偽の身分を本物だと信じます。これはソーシャルエンジニアリングの典型的な例です。
オーガのWebサイトを介した水飲み場型攻撃
- 猫は魔法使いオーガの城に到着し、客人として迎えられる。猫が「魔法の力を見せてほしい」とお願いすると、気を良くしたオーガはライオンに変身する。猫は怖がるふりをして、誰でも大きな獣に変身できるが小さなものに変身するのはどうだろうか、と言う。オーガがネズミに変身すると、猫はその息の根を止めてしまう。
この詐欺を完遂するには、侯爵のWebサイト（城）がなければなりません。どんなサプライヤーでも、Webサイトくらい持っているものです。一から作成するのは無茶な話です。履歴（歴史）はありませんし、作成日からして疑わしく見えるでしょう。したがって、猫は既存のWebサイトを乗っ取ることにしたのでした。ここでペローは、ルーズなアクセス権限がらみの脆弱性をざっくりと描いています。猫は外部のペネトレーションテスターとしてログインし、ローカル管理者をうまく説得してアクセス制御システムをあれこれ操作させます。管理者は、最初に自分の権限をroot（ライオン）に上げ、それからゲスト（ネズミ）に下げます。その瞬間、猫は「ネズミ」権限を持つアカウントを削除し、実質的にWebサイトで唯一の管理者になります。
- 王様は城を訪ね、歓迎ぶりにいたく満足し、侯爵は王女の良きパートナーであると判断し、宮廷に招いて王位継承者にすることを提案する。
これは、ソーシャルエンジニアリングが意図した通りに機能した場合そのものです。被害者は、今や悪意あるものと化したWebサイトにアクセスし、そこで取引を完了し、ハッカーに貴重な資産（この場合は王位）へのアクセス権を与えます。もちろん直接にではなく、自分の娘を偽侯爵と結婚させるという形を取っています。
サプライチェーン攻撃
ここからはペローが言及しなかった部分ですが、物語を注意して読んでいれば、あなたはおそらく、カラバ侯爵がどういう状況にあるか気付いたのではないでしょうか。
- カラバ侯爵は王様の信頼できるサプライヤーであり、数か月間にわたって王様の食卓にジビエを届けてきた。
- カラバ侯爵は王様の一人娘の夫である。
侯爵を絶対的権力から遠ざけているのは、王座にいるこの老人です。要するに、絶対的な支配者になるために彼がしなければならないのは、次に食卓に上るヤマウズラのコードに何らかの致命的なウイルスを注入し、座して待つことだけです。
ヒント