【セキュリティ魂】ハッカーショーをテレビ番組が放映「盗難してくれてありがとう」

　その名もずばり「タイガー・チーム」というタイトルで、去年12月のクリスマスの日にデビューしたリアリティー番組はなんと、本物のタイガー・チームが主役のハッカーショーだ。タイガーチームとは、ハッカーと同様の手口を用いて、当該ネットワークシステムへの攻撃を試み、ネットワークシステムの欠陥を調査する専門家チームのことである。

　この30分の番組は、Ryan Jones（ライアン）、 Chris Nickerson（クリス）、 Luke McOmie（ルーク）の三人の「セキュリティ監査スペシャリスト」が、毎エピソード違ったタスクを達成するというもの。Chrisは「人や状況を操作すること」つまりソーシャル･エンジニアリングの専門家。Lukeは「コンピューターに侵入するのが専門」でRyanはCISSPであり、フィジカル･セキュリティが専門。これを放映するのは、TruTV（元CourtTV）で、スタジオに作った本物の家庭裁判所の中継や、「Cops」「Forensic Files」などの司法・警察関連のリアリティー番組を得意とするケーブル局。

　エピソード1は、カリフォルニア州サン･ディエゴにある超高級カーディーラーの車を盗むというのがタスク。番組はストリームで見れるようになっている。

・http://www.trutv.com/video/?id=870&link=truTVshlk
・http://www.trutv.com/video/?id=871&link=truTVshlk
・http://www.trutv.com/video/?id=872&link=truTVshlk
・http://www.trutv.com/video/?id=873&link=truTVshlk

　ロータス、フェラーリ、ランボルギーニなどの高級車を扱うこのショー･ルームは、メキシコの国境から50マイルしか離れておらず、「盗難車に国境を越えられてしまったら終わり」ということから、タイガー･チームを雇ってセキュリティの強固さをテストすることにしたということだ。テスト攻撃のタイムフレームは「2〜3週間以内」ということで、マネージャー以外誰も攻撃が行われることを知らないままでタスクは始まった。

　第一段階は夜中の偵察。1階は、ドアから窓まで全てモーション･センサーや圧力センサーで警備されているため、チームは屋根からの侵入ができるかどうかをチェックし、セキュリティが施されていない天窓を見つける。そしてダンプスター・ダンピング（ゴミ箱荒らし）を行い、ディーラーのITセキュリティ担当の会社の名刺を見つける。

　第二段階は営業時間内の準備。クリスはZippoのライターに隠されたカメラを持って、お客の振りをしてディーラーを訪れる。ルークは、前の晩に見つけた名刺の会社員を装って、ソーシャル・エンジニアリングをしてディーラーのネットワークへの侵入を試みる。そのコツは「会社名を使って先に電話を入れれば、そこで信頼関係が生まれる」ことらしい。ルークが「今日、お宅に伺う予定のxx社のルークです。迷ってしまったのですが...」と先に電話を入れてディーラーを訪れれば、そのままサーバー･ルームにIDのチェックもなしに入ることができた。ルークがローカルでリモートからのライアンの侵入を援助して、車体番号のデータベースを消去。そして、一階の壁にあるアラーム･システムのキーパッドの横にワイアレス･カメラを設置して、アラーム解除の番号を誰かが入力するのを近くのホテルの一室からモニターし、プランをたてる。

　そして攻撃日。夜中に天窓から侵入を試み、2階のCEOのオフィスの部屋の鍵をロックピックして侵入。世界的に有名な俳優のものを含む顧客情報を多数発見し、1階のショールームへ移動を試みる。モーション･センサーがあちらこちらにあっても、階段のセンサーはトリガー･エリアが床から60センチ以上ということにルークは気がつき、階段を這って降り、アラームを解除。ロータスをフロントドアから運転して出て、近所を走って元に戻した。もちろん、その夜のセキュリティ･カメラのテープは消去して、タスク完了。

　番組は最後に、ディーラーのオーナーにセキュリティの不完全な部分を指摘して、マネージャーの「盗難してくれてありがとう」と言う言葉で終わっている。

　この番組、オンエア前から、あちらこちらのセキュリティ･ブログで「番組を楽しみにしている」というコメントで溢れていた。特に、主役の一人のRayn Jonesは、あの老舗ハッカー･グループのCult of the Dead Cow (cDc)の付属団体であるNinja Strike ForceのメンバーのLizzie Bordenであることから、悪意的なコメントは驚くほど少ない。日本国内でもその著作を知られる、有名な暗号学者ブルース･シュナイアーもそのブログで「現実離れした扇動主義的番組かもしれないが、面白いかもしれない」と紹介し、「番組を見た」という関係者から「細かなテクニックまで公開していて、全体的に非常に良いできだったことに驚いた」「期待を上回った」など評判がいい。

　TruTVのPRによると、エピソードは2つだけ作られた”スペシャル”であるということ。つまり、今後これ以上のエピソードが作られる予定はないそうだが、実に惜しいことだ。
執筆：米国　笠原利香

関連用語
・タイガーチーム（Tiger Team）とは

関連リンク
・TruTV 公式サイト

写真キャプ
・左から右に Ryan Jones, Chris Nickerson, Luke McOmie
・暗号学者ブルース･シュナイアー 公式ブログ

■こちらもオススメ！【セキュリティ魂】
・Wiiクラッキング　コンセプト実証ながら話題沸騰
・日本の証券システムは世界どころかアジアの中でも遅れている
・海外が指摘する“原田ウイルス作成者逮捕”の舞台裏
・脅威を予測する！　iPhoneやスマートフォンへの攻撃も台頭
・中国の情報セキュリティ会議 Xcon2007 体験記
・【セキュリティ魂】バックナンバー