船舶のブラックボックスにも脆弱性

事故原因の究明などに利用されるブラックボックスは、航空機だけでなく船舶にも搭載されています。しかし、ハッカー攻撃に対する脆弱性が非常に高いことがわかりました。

maritime-blackboxes-featured

一般的に「ブラックボックス」と言えば航空機のフライトレコーダーを指しますが、この種の装置は実は船舶にも搭載されており、こちらは航海データ記録装置（Voyage Data Recorder、略してVDR）と呼ばれます。海運版ブラックボックスにあたるこの装置は、3,000総トン超のすべての旅客船と貨物船に設置が義務付けられています。

航空機のブラックボックスと同様、VDRは天候、レーダー画像、船位、速度、各種の音声通信など、航海中の船舶で起こっていることをすべて記録します。万一事故が起きた時には、音響ビーコンと共に保護カプセルに格納されたこの装置が、いわば自動記録される航海日誌の役割を果たします。

VDRは、海難事故の真相と原因の究明に役立ちます。たとえば、悪名高いクルーズ客船コスタコンコルディア号の事故に関与した船長と乗組員に対する訴訟で、VDRの記録が使用されました。その結果、30人以上の乗客が死亡し船が座礁した原因として、船長と乗組員に重大な過失があったことが認められました。

VDRは、あらゆる種類の事故の調査に使用されており、環境汚染事故もその1つです。2007年に、コンテナ船コスコプサン号が、濃霧の中でサンフランシスコ・オークランドベイブリッジのデルタタワーの防護柵に激突し、船のタンクから50,000ガロン以上の重油がサンフランシスコ湾に流出しました（英語記事）。乗組員は捜査協力を拒みましたが、米国家運輸安全委員会は船のVDRから取り出したデータを活用して事故の原因を究明しました。

残念ながら、時にはVDRも評判ほどの働きをしないことがあります。海運業全般の例に漏れず、VDRの開発者もインターネットセキュリティやネット接続型装置の保護にさほど注意を払っていません。その上、多くの船主が、サポート終了済みのWindows XPを搭載した古い製品を使用しています。その結果、ソフトウェアをアップデートする仕組みも暗号化機能もお粗末で脆弱な装置が、頻繁に市場に登場することになります（英語記事）。この場合、サイバー犯罪者から船員、船主まで、あらゆる関係者が記録データの改変や削除が可能で、そうなるとVDRはまったく役に立たなくなります。

2012年2月15日に、イタリア人の船員がインド人漁師2名を海賊と間違えて発砲するという事件が起きました。事件の後、Furuno製のVDRに記録されていた重要データが、奇妙にもすべて破損していることが判明しました。この事件は外交問題に発展し、現在も捜査が続けられています。

またその後、シンガポール船籍のプラブダヤ号がケララ海岸沖で漁船に衝突した上、現場から去ろうとした事件もありました。漁師2名が死亡し、1名が行方不明となりました。行方不明の1名はその後、同海域で別の漁船に救助されました。捜査の過程で、乗組員の1人がVDR内のデータを故意に破損させたことを当局が突き止めました（英語記事）。その乗組員は装置にUSBメモリを挿入してウイルスに感染させ、記録データをすべて破損したというのです。さらに、プラブダヤ号のメインコンピューターシステム（セキュリティ対策は一切なし）もウイルスに感染していました。

先日、IOActiveのセキュリティエキスパートが、前述のFuruno製VDR「VR-3000」を調べたところ、ハッカーの攻撃をかなり受けやすいことがわかりました（英語記事）。

「複数のサービスで、バッファオーバーフローやコマンドインジェクションの脆弱性が悪用される可能性がある。ファームウェアをアップデートする仕組みに欠陥がある。暗号化も弱い。根本的に、ほぼすべての設計が安全でないと考えて良いだろう」

このため、テロリストや海賊などの悪者が乗組員の会話や無線通信を遠隔で盗聴する恐れや、VDRに保存されているデータにアクセスしたり、データを改変、消去したりする可能性があります。

多くのVDRシステムは、直接インターネットに接続されていないものの、イーサネットを利用して衛星通信システムと同じネットワークにアクセスしています。ただ、その衛星通信システムに脆弱性が含まれていることがすでにわかっています。ですから、VDRデータにアクセスするのに、実際に乗船する必要はありません。必要なのは船舶のメインコンピューターシステムに侵入することだけです。

侵入は十分可能です。たとえば、2013年にセキュリティリサーチャーは、世界中の約400,000隻の船舶で使用されている自動船舶識別装置（AIS）（英語記事）をハイジャックする方法を発見しました（英語記事）。

IOActiveは、2014年10月にこれらの脆弱性についてFurunoに通告しました。同社は「2015年のどこかの時点」でパッチを提供すると約束しましたが、その後同社から何の発表もないため、実際にパッチが船会社に配布されたのかどうかは今も明らかになっていません。

最近まで、海運業界はサイバーセキュリティにさほど関心を持っていませんでした。ただ、それは間違いでした。世界中の貨物の90%が海上で輸送されている以上、船舶はこれからもハッカーにとって魅力的な標的であり続けるでしょう。現在は、サイバーセキュリティ問題への関心が高まっています。しかしあいにく、世界中のすべての商船で、早急に装置の入れ替えやアップデートを行うのはほとんど無理な話です。なにしろ、商船の数は2014年の時点で85,000隻以上に上り（英語記事）、年々増え続けると言われています。それでも、移行が進行中であることは確かで、好ましい動きだといえるでしょう。

ヒント
新着記事をメールでお知らせします