今週公開されたRisky Bulletinのまとめによると、アルジャジーラの従業員がCandiruの商用スパイウェアの標的にされた。この項目は短いが、重要である。政府向けに作られた監視ツールがジャーナリストに向けられるもう一つの事例だからだ。この記事では、Candiruスパイウェア アルジャジーラ ジャーナリストの話を取り上げ、何が確定していて何が確定していないのか、そしてどの防御策が現実的かを整理する。

出典に関する注記：Risky Bulletinの要約は、アルジャジーラの従業員がCandiruスパイウェアの標的にされたことだけを述べている。デバイスの台数、感染方法、監視を命じた主体の帰属などの詳細はその出典には含まれていないため、本記事ではそれらを断定しない。具体的な内容については、元の調査者およびアルジャジーラ自身の声明を確認してほしい。

Candiruスパイウェアがアルジャジーラ職員を標的にした経緯

核心的な事実は単純だ。大手報道機関の職員が、商用ベンダー製のスパイウェアで狙われた。Candiruは商用スパイウェア業界と関連付けられる名称であり、この業界では企業が侵入ツールを開発し、顧客にライセンス供与する。このモデルは、ツールを作る人々と標的を選ぶ人々を分離している。

ニュースルームにとって、リスクは抽象的なものではない。スパイウェアに侵害された電話は、メッセージ、連絡先、位置情報、そして情報源の身元を露出させる可能性がある。たとえ1台の感染端末でも、同僚や、その記者に内密に話した人々に影響が及ぶことがある。

商用スパイウェアがジャーナリストの端末に到達する方法

商用スパイウェアは一般に、端末に侵入する何らかの手段を必要とする。業界全体で一般的な経路には、悪意のあるリンク、アプリやブラウザの脆弱性の悪用、オペレーティングシステムの欠陥などがある。アルジャジーラ職員に対してどの経路が使われたかは出典の要約では触れられていないため、ここで一つを挙げるのは推測になる。

一般論として言えることは次のとおりだ：

  • これらのツールは高価であり、通常は一般大衆ではなく特定の人物に対して使われる。
  • これらはソフトウェアの脆弱性に依存しており、ベンダーは欠陥が知られると更新を通じて修正する。
  • ジャーナリスト、活動家、弁護士、公務員が通常の高価値標的である。

攻撃は選択的であるため、個人が特別なことをしていなくても標的にされることがある。慎重な習慣は助けになるが、安全を保証するものではない。

実践的な保護：更新、ロックダウンモード、VPNの限界

単一の設定で断固たるスパイウェアを止めることはできないが、いくつかの措置は攻撃者のコストを高める。

速やかに更新する。 スパイウェアはしばしば既知のあるいは最近発見された欠陥に依存している。オペレーティングシステムとアプリの更新を登場次第インストールすることで、あなたに対して使われ得る穴を塞ぐことができる。

ロックダウン式のモードを使う。 一部のプラットフォームは、攻撃対象領域を縮小するために、一部のメッセージ添付やリンクプレビューなどの特定機能を無効にする強化モードを提供している。利便性は低下するため、リスクが高い人々にとって最も意味がある。露出は減らせるが、免疫を約束することはできない。

VPNが何をするかを理解する。 VPNは端末とVPNサーバー間の通信を暗号化し、訪問するサイトからあなたのIPアドレスを隠す。すでにスマートフォン上にあるスパイウェアを除去するものではなく、それをインストールするエクスプロイトをブロックするものでもない。端末が侵害されていれば、スパイウェアはデータが暗号化される前に読むことができる。VPNは有用なプライバシーツールだが、この種の脅威に対する防御ではない。

露出を減らす。 端末を定期的に再起動し、使っていないアプリを削除し、予期しないリンクをクリックするのを避け、機密性の高い会話は強力な暗号化を備えたプラットフォームで行う。組織は、セキュリティを個人の判断に任せるのではなく、リスクの高い職員に明確な指針と支援を提供すべきだ。

より広い脅威の状況：DataSuckers、北朝鮮のノートPCファーム、OpenAI内部関係者の事例

同じRisky Bulletinの号では、脅威がいかに多様であるかを示す他の記事も扱っている：

  • ロシアがDataSuckersを逮捕。 ロシア当局はDataSuckersとして知られるハッキンググループのメンバーを逮捕した。
  • 米国が北朝鮮関連の40のノートPCファームを妨害。 米国は北朝鮮に関連する40のノートPCファームに対して措置を取った。これは、脅威が技術的なエクスプロイトだけでなく、リモートワークや採用チャネルを通じて到来し得ることを思い起こさせる。
  • OpenAI従業員が逮捕。 OpenAIの従業員がスパイ装置を仕掛けたとして逮捕された。これは、物理的アクセスと信頼された立場も重要であることを示す内部関係者の事例だ。

出典の要約はこれらの事例についてこれ以上の詳細を与えていないため、完全な記事というよりシグナルとして読むのが最善だ。信頼とインフラストラクチャは、インターネットの他の層におけるセキュリティも形作る。イランとロシアに関連するTLS証明書失効に関する我々の記事では、制裁遵守がブラウザが依存する証明書にまで及ぶ可能性を説明している。

あなたにとって何を意味するか

ほとんどの人は商用スパイウェアの標的になる可能性は低いが、教訓は広く当てはまる。端末を最新の状態に保つことは、珍しい攻撃だけでなく多くの種類の攻撃からあなたを守る。ジャーナリズム、人権、法律、政治の分野で働いているなら、あなたのリスクプロファイルはより高く、追加の予防措置は正当化される。VPNはネットワークプライバシーのための一層として扱い、侵害された端末に対する保護として扱わないことだ。

主な要点

  • システムとアプリの更新を速やかにインストールする。特にリスクが高い場合はそうする。
  • 端末がロックダウン式のモードを提供しており、あなたの仕事が標的になりやすいなら、それを有効にする。
  • VPNはスパイウェアを止めたり感染を除去したりしないことを覚えておく。
  • 侵害を疑う場合は、推測に頼るのではなく、組織のセキュリティチームまたはデジタルセキュリティの専門家に連絡する。
  • Candiruスパイウェア アルジャジーラ ジャーナリストの事例について確認された詳細は、公式声明と調査者の報告を参照する。