SNSインタビュー：イーゴリ・スーメンコフに聞く『ウォッチドッグス』

現実さながらのプレイ感覚と独自のコンセプトを持つビデオゲーム『ウォッチドッグス』は、発売第1週に400万本という記録的な販売数を達成し、ビデオゲーム業界のランキング上位に躍り出ました。このゲームの肝となるのは、「スマートシティ」を構成するデバイス（ATM、ゲート、信号機、監視カメラなど）のハッキングです。Ubisoftは、ストーリーのリアルさを追求するために、現実の世界で実際に可能なハッキングだけをゲームに盛り込みました。ゲームの脚本の検証とハッキング面でのリアリティチェックがKaspersky Labのエキスパートに依頼されたのも、不思議なことではありません。さて、ゲームが発売された今、プレイヤーの皆さんからさまざまな質問が寄せられています。ゲーム内で見られるハッキングは現実世界の何にあたるのか、これこれこういうハッキング手段は実際に存在するのか…。Kaspersky LabのFacebookページに寄せられた質問をKaspersky Labのセキュリティエキスパート、イーゴリ・スーメンコフ（Igor Soumenkov）にぶつけて、ウォッチドッグスで行われるハッキングの真相を語ってもらいました。

ゲーム内でのハッキングは、どのくらい現実に近いのですか？

現実世界で行われているハッキングにかなり近いものもありますが、やはりこれはゲームであり、シミュレーションです。よく心に留めておいていただきたいのですが、『ウォッチドッグス』の目的はプレイヤーにハッキングを指南することではなく、ハッキングツールがどのくらい強力になりうるか体験してもらうことです。

ゲーム内で見られるハッキングのうち、以下のものは現実世界でも遭遇する可能性があります：

–    傍受（AndroidでパスワードとWiFiパケットを傍受する）

–    ATMやPOSのハッキング（テキストメッセージで制御されるATMマルウェアが現金を引き出す）

–    自動車のハッキング（チャーリー・ミラー（Charlie Miller）氏とクリス・ヴァラセク（Chris Valasek）氏がデモを見せています）

–    都市機能のコントロール：信号機、停電（ニューヨークの信号機システムのハッキング？）

現実に起こりうる #ウォッチドッグス のハッキングを紹介

Tweet

こういったものをすべて、スマートフォンでハッキングすることは現実に可能ですか？

もちろんです。ただ、現実の世界では、ハッキングを行う側で十分な準備が必要です。ただスマートフォンをタップして、出来合いのエクスプロイトを使えばいい、というものではありません。

たとえば、ATMのハッキングを例にとってみましょう。まずエクスプロイトとマルウェアを外付けUSBデバイスに保存して、このUSBデバイスをATMに接続します。このエクスプロイトによって、高いレベルのシステム権限を取得し、マルウェアを起動できるようになります。たとえば、ATMのOSをコントロールするバックドアを起動するとか。ATMのハッキングが完了したら、あとはこのATMからお金を持ち出すだけです。この最後の段階 ― ATMに紙幣を吐き出させること ―には、スマートフォンは使われません。

サイバー犯罪者が実際にゲームのアイデアを使って大都市をハッキングし、支配できると思いませんか？

このゲームが、今後、都市で使用されるオペレーティングシステムのセキュリティについて考えるよい機会になればと思っています。こうしたことに関するセキュリティについて、真剣に検討が必要です。このゲームは、セキュリティがしっかりしていないとシステムがどうなるかを表す、興味深いシミュレーションです。

現実の世界で、最も恐ろしいとされているセキュリティインシデントを1つあげてください。

このゲームに登場するハッキングの大半は、自動制御システムへの侵入に関わっています。これは、産業用制御システムをターゲットとしたStuxnetと呼ばれるワームが数年前に登場して以来の流れを反映したものです。Stuxnetの例は、コンピュータープログラムが現実世界で何ができるのかを見せつけました。実際に、物理的な機器を破壊したのです。ゲームの中で起きているのは、まさにそれです。この脅威は、ますます現実味を帯びてきました。

オンラインゲームに対するサイバー攻撃の可能性はどのくらいありますか？

そのリスクは存在します。また、どんなタイプのゲームをプレイしているか、プレイ中と現実世界で自分がどのようにふるまうかによって、事の重大さは違ってきます。たとえば、トロイの木馬は、10年以上にわたって、さまざまなものを盗むのに使われてきました。たとえば、プレイヤーのゲーム内の所有物であるキャラクターなどです。今では、トロイの木馬は非常に柔軟性に富んでいて、デジタルライフのさまざまな分野をターゲットにしたオプションを無数に持っています。Skypeのパスワードを盗むかどうかを選択することもできますし、ゲームのパスワードだけをターゲットにした設定も用意されています。ゲームのパスワードは、ゲームアカウントをハッキングし、乗っ取るのに使われます。

ハッカーは、ゲーム開発者をターゲットにすることもあります。プレイヤーを狙う場合とは異なり、知的財産を盗む、不正なオンラインゲームサーバーを作成する、などが目的です。

マルチプレイヤーモードでオンライン解読をするときなのですが…プレイヤー同士が近くにいると、解読の速度が上がります。これは現実の世界でもそうですか？デバイスを無線でペアリングして処理能力を共有できる、と聞いたことがあります。どうなんでしょう？

そのとおりです。共有リソースを使用すると高速化される計算処理もあります。パスワード攻撃が、このタイプの処理です。1つのワークロードを複数のデバイスに分散し、同時処理することができます。すぐに使えるアプリもありますが、無線ネットワーク内で見つけた多数のデバイスでタスクを共有させるようなアプリを開発することも可能です。

ウォッチドッグスに見られるような「スマートシティ」を実際に作ろうとした場合、最大の障害は何だと思いますか？

技術面での障害は、それほどではありません。煎じつめれば管理者権限の話になるでしょうね。ウォッチドッグスの舞台である仮想世界のシカゴでは、信号機、ガス管、ATM、監視システム、跳ね橋などがすべて、1つのネットワーク内で相互に接続されています。つまり、1つの組織がインフラ全体を管理し、データセンターも1つであるということです。

現実世界では、こういったシステムはすべて別々の組織によって管理されています。たとえばATM。銀行ごとにATMのネットワークは異なります。したがって、現実世界で最大の障害となるのは、こうした異なる企業や組織をすべて1つのデータセンターの管理下に統合するプロセスではないでしょうか。

一方で、システムを統合すると、ミスの代償が高く付きます。ハッキングされたとき、よろしくない重大な事態に陥るリスクが高くなるのです。しかし、システムが相互に接続されていることで、保護しやすくなるのも事実です。「攻撃対象領域」という概念がありますが、それによると、企業の数が少ないほどサーバーの数も少なく、攻撃対象領域も小さくなります。別の言い方をすれば、セキュリティ企業が保護しなければならないデータセンターが1つだけなら、負担も少なくて済みます。

現在ハッキングに使われているハードウェアはとても安く手に入る代物だが都市のインフラ全体を十分にハッキングできる、と噂されています。これについてはどう思いますか？

「都市のインフラ全体」のハッキングについてですが、先ほども述べたとおり、都市生活をそっくりそのまま管理できるシステムはありません。現実には、スピード違反取り締まり用カメラのネットワークやATMのネットワークなど、さまざまなインフラが存在します。そのため、都市のインフラ全体をハッキングするのは不可能です。それからハードウェアについてですが、ハードウェアの優劣は大して重要ではありません。100ドルくらいの初心者用PCを使ってもハッキングできますから。本当に必要なのは、ディスプレイと、キーボードと、OSと、知識とツールです。ツールは、有料のも無料のもインターネットで簡単に見つかりますし、なければ作るという選択肢もあります。

ハッキングに最適なのはどのモバイルデバイスですか？

この手の操作には、OSに対する特別な権限を持ったスマートフォン、つまりRoot化されたAndroid携帯か、ジェイルブレイクされたiPhoneが必要です。このようなデバイスではネットワークカードのMACアドレスを変更できますし、なによりもネットワークの深いレベルで作業できるようになります。しかし、問題はデバイスではなく、アプリです。特殊なツールが、Android向けにもiOS向けにも作成されています。

ある1つの企業が都市全体を支配していて、それに抵抗する少人数のグループがその企業のシステムのハッキングを試みるようなことが、将来的にあると思いますか？

1つの企業が都市全体を支配する…そんなことがあるとは思えません。少なくとも、経済界の利害とは一致しませんね。企業はそれぞれ、自社の分野で優位に立とうとはしていますが、全体を独占しようとしているわけではありません。ですから、この未来のシカゴのような発想は現実的ではありません。1つの企業にあらゆるものを統制する権利を与えることは、結局のところ、健全な競争のルールに反するからです。したがって、いつかこのゲームの発想が現実のものになると考える理由はありません。

しかし、いわゆる「スマートシティ」については、すでに実現に近づきつつあります。とはいえ、これはまた別の問題です。この場合も、複数の異なる組織がさまざまなレベルの責任をもってインフラを管理することになるでしょう。

別の人のシングルプレイヤーゲームをハッキングするためのアドバイスをください。

私たちはゲームと現実世界におけるセキュリティ関連のトピックを担当しています。ゲームについてのご質問はUbisoftにお問い合わせください（笑）

ハッキング用の物理デバイスは存在しますか？70年代後半のブルーボックスみたいなものは。

もちろん、たくさんあります。たとえば「プラグコンピューター」ですね。タブレットや昔の携帯電話充電器くらいのサイズで、コンセントに差し込むだけでインターネットに接続できます。グルプラグ、ドリームプラグなどさまざまな種類があります。これらはどれも本格的な機能を備えた小型PCで、ネットワークの安全性試験を行うなどの目的で設計されています。また、「pwn plug」と呼ばれるものもあります。これは、自動的にネットワークをスキャンし、ぜい弱性を見つけ、レポートを準備するように設定された小さな箱形のデバイスです。

PCのハッキングと、エアコンや信号機のハッキングには、何か違いはありますか？

これらのデバイスはすべて…いえ、エアコンについてはよくわかりませんが、何らかの形で接続されています。ここでは、信号機、リフトゲート、跳ね橋についてお話ししましょう。これらはコンピューター（またはコントローラー）に接続されています。コンピューターやコントローラーは、オペレーターによって管理されています。つまり、信号機をハッキングするには、オペレーターのPCをハッキングしなければなりません。これは最も実現可能なアプローチであって、ウォッチドッグスにも採用されています。ウォッチドッグスとは、オペレーターのコンピューターまたは管理組織のコンピューターをハッキングするゲームなのです。

ゲームから削除した面白いハッキングはありませんでしたか？あったとしたら、なぜ削除したのですか？

私たちの専門は、サイバー空間における脅威を食い止め、「ハイパーコネクティビティ」やITシステムの悪用、乱用を阻止することです。だからこそ、ゲームで使われているインターネットの理論的なシナリオについて技術的な援助や提言をしてきました。ゲーム中のプレイについても、キャラクターやプロットの開発についても。ゲームプレイやプロット開発がより（技術的に）本物らしくなるように、脚本をレビューし、私たちが正確だと思うことや、微調整/編集/変更できることを提案しました。

シナリオから削除したものはありません。最初に渡されたスクリプトには、すでにいくつかハッキングが入っていました。私たちはそれらを検討し、いくつかを承認し、いくつかは訂正しましたが、削除は一切していません。しかし、もちろん、Ubisoft側がどう考えているかはわかりませんけれども。

サイバー空間の脅威の現状や今後の可能性について、プロの知識を持っているというのはどういう気分ですか？よく眠れますか？

はい、よく眠れています。問題はないですね。もちろん、完全に安全なシステムなどないことはわかっています。ハッキングは、時間と予算と精神力の問題です。ぜい弱性は常に存在します。100%信用できるものはありません。PCでもルーターでも、企業ネットワークでもWi-Fiネットでも。テレビさえも！しかし、ハッキングされたときだけではなく、ハッキングされたような気がしたときであっても、どのように行動すればいいかわかっているので、自信を持っていられるのです。

ゲームの中で描かれている「人物検索」のようなことを簡単にできるデータベースはありますか？また、このようなデータベースが今後10年間のうちに作られる可能性はありますか。

このようなデータベースは何種類かあります。皆さんもよくご存知です。たとえば、FacebookやLinkedInですね。何らかのテクノロジーを使って、特定の人物をこういった「データベース」に関連付ければ、一発です。

スパイ組織に入る必要はありません。公開情報を分析するオープンソースインテリジェンス企業がありますから。このような企業はソーシャルネットワークに仮想アカウントを作成し、友達になってくださいと呼びかけたり、友達を追加したりします。数千人のユーザーを友達として追加すれば、その友達の友達のプロファイルにもアクセスできるようになるので、事実上、どのプロファイルにもアクセスできるようになります。数千の関係を持つ友達が数人いれば、実際にソーシャルネットワーク人口全体をカバーできます。

ご存知かもしれませんが、地球上にいる人間を無作為に2人選んだとして、この2人は6回の握手で巡り合えると言われています。つまり、ネットワーク上では、友達が数人いれば、誰かを見つけられるのです。あとは、発見した情報を実際の世界に関連付けるだけです。地理的な位置情報、顔認識、音声認識など、誰でも簡単に使える手段が数多くあります。これらを組み合わせて使用すれば、非常に効果的です。必要ない情報を除外し、その人を見つけ出し、そのプロフィールを見て自分の探している人かどうかを特定することができます。