Officeのマクロを「標準設定で無効」にするマイクロソフトの決定は、セキュリティ史における転換点になる

2022年3月7日 17時0分

インターネットからダウンロードしたマイクロソフトの「Excel」や「Word」ファイルのマクロが有効化されるように仕向ける手法は、古くからあるハッカーのやり口である。その“ワンクリック”を引き出すことで、標的とするデヴァイスを乗っとる足場を築くことができるからだ。

「Officeのマクロを「標準設定で無効」にするマイクロソフトの決定は、セキュリティ史における転換点になる」の写真・リンク付きの記事はこちら

こうしたなかマイクロソフトが、一見すると小さくは見えるが影響力の大きい変更を2月7日（米国時間）に発表した。インターネットからダウンロードしたExcelやWordのファイルにおいて、4月から標準でマクロを無効化するというのである。

「Microsoft Office」に搭載されているマクロ機能は、データ収集などの作業をツールやアプリを追加で開発することなく自動化できるプログラミング言語の一種だ。マイクロソフトのプログラミング言語である「Visual Basic for Applications（VBA）」で記述できるほか、作業の手順をVBAのマクロに変換するツールを使うとコーディングの知識がなくても済む。

企業側でいまも高い“マクロ依存度”

企業のなかでも特に古いインフラを用いている場合はマクロに大きく依存していることが多く、金融サーヴィスから政府機関まで、マクロはあらゆる分野で重要な役割を担っている。一方で「Microsoft 365」の個人ユーザーの場合、マクロといえばわずらわしい「許可」ボタンのクリックしかしたことがないものだったり、回避したりする人も珍しくない。

「WIRED Thursday Editor's Lounge」本格始動！いまいちばん会いたいゲストに“公開インタヴュー”。毎週木曜夜のオンラインイヴェントをチェック！（詳細はこちら）

攻撃する側にしてみれば、ExcelやWordのような信頼されている大きなアプリケーション向けに小さなプログラムを書くことで、“マクロウイルス”をつくることが可能になる。また、標的とするデヴァイスに別のマルウェアを自動ダウンロードして実行するマクロをつくることもできる。

こうしてマクロ機能を日常的に使うかどうかにかかわらず、誰もが危険と隣り合わせである状態が何十年も続いてきた。このことを考えると、マイクロソフトが発表した対策の意義は大きい。

「この発表は数年後、攻撃者による初期のアクセスを減らす目的でマイクロソフトが実施したなかでも最大の変更として振り返られることになるでしょう」と、米国家安全保障局（NSA）の元ハッカーでインシデント対応にあたるジェイク・ウィリアムズは語る。「イスラエルの監視ソフト開発企業のNSOグループをはじめとする世界最高レヴェルの相手だと、こうしたものは一切使っていませんが、詐欺やランサムウェア攻撃のグループのような犯罪者には効果があるはずです」

オーストリアのウイルス対策企業のEmsisoftで脅威アナリストを務めるブレット・キャロウによると、企業などの組織に対するランサムウェア攻撃のうち少なくとも4分の1においては最初にフィッシングが試みられている。この際には問題のあるマクロを混ぜこんだ悪質なドキュメントが使われることが多いという。

「マイクロソフトの発表は大歓迎です」と、キャロウは語る。「サイバー犯罪を仕掛ける側は逆に、まったく歓迎していないでしょう。正直、変えるのが遅すぎました」

これに対してマイクロソフトの広報担当者は、「わたしたちは常にセキュリティの向上に取り組んでいます」としたうえで、「現行製品はすべての顧客に警告が出るようになっており、インターネットから入手したマクロは実行前にクリックが必要です。今回の新機能では、よくある事例で顧客を守るべく手順をさらに追加しています」と説明している。なぜ今回は変更に踏み切り、これまでそうしなかったのかについては、マイクロソフトからの回答は得られていない。

その理由としては、マクロに依存しているマイクロソフトの大口顧客のニーズと、マクロがらみの攻撃を一気に抑制したいマイクロソフトの考えの綱引きがあった可能性は高いだろう。

角が立たない解決策

「Windows 10」と「Windows 11」には、「Microsoft Defender Application Guard （Application Guard）」という機能がある。この機能により、これまでなら成功していたマクロ関係の攻撃に関して攻撃側が意味のあるアクセスを確保することが、かなり難しくなっている。

しかし、Application Guardは主に企業のデヴァイスを想定したものであり、数が多い一般消費者のWindows機にはまだ対応していない。また、世界中に大量にある古い旧式のWindows機も、先進の防衛機能をもたずに稼働し続けている。

限定イヴェントにも参加できる！『WIRED』日本版のメンバーシップ会員募集中！

マイクロソフトは、インターネットから入手したファイルに限定してマクロを無効化することで、角が立たない解決を試みているようだ。ファイルをダウンロードすると、Windowsが「Mark of the Web」や「zone.identifier」として知られるメタデータ属性をそのファイルにマークする。システムはこれを手がかりに、インターネットから入手された信頼できないかもしれないソフトウェアに対し、実行時に警告するなどの措置をとる仕組みとなっている。

インターネットを一度も経由していないファイル、例えば企業の経理部が社内の人事関連サーヴァー上で保存している給与関係のスプレッドシートのようなファイルについては、マクロはこれまで通り標準で有効になる。また、ダウンロードしたファイルであっても、信頼できるとしっかり確認しているならマクロの有効化は可能だ。

マクロに関する新しい方針が適用されるのは、Windows版「Microsoft Office」の最新ヴァージョンのみとなる。なかでもExcelとWordのほか、「Access」「PowerPoint」「Visio」が対象だ。マイクロソフトによると、「Office 2021」「Office 2019」「Office 2016」「Office 2013」「Office Long Term Servicing Channel（LTSC）」の同じアプリケーションについては詳細は未定だが、同じ対策のアップデートを後日公開するという。

防衛側のセキュリティ専門家も歓迎

攻撃側がユーザーを引っかけるには、現状でもマクロの実行をユーザーに同意させる必要がある。今回の対策は、いったんマクロが無効化されることで、標的が感染に至るまでのプロセスが大幅に複雑になる。このため攻撃側がうまく誘導できる見込みが大きく低下するわけだ。

ちなみに、所属組織のシステムやプロダクトをハッキングして脆弱性を見つける任務をもつ「レッドチーム」側のセキュリティ専門家たちも、この変更によって仕事が大変になる。詐欺をはたらく側とレッドチームのような検証者のどちらも、標的とするデヴァイスへのアクセス確保については、ずっと前からマクロ攻撃が定番だったからだ。その難度が上がることがポイントになる。

独立系研究者のセドリック・オーエンズは、「レッドチーム側の人間から見てもすばらしい対策です」と語る。「Officeマクロの悪用は裾野が広いのです。このためマクロを使うOfficeファイルの利用が適切であることは、特にインターネットから入手したファイルである場合にはほとんどありません。ですから、マイクロソフトによるこの変更を歓迎しています」

オーエンズは、マクロを使うハッキングがアップルの「macOS」にも出現していることから、この対策はmacOS版のOfficeにも求められると指摘する。一方で、攻撃の半分以上がWindowsで起きていることから、Windowsへの対策は重要な第一歩だという。

まぎれもない分岐点になる

マイクロソフトがWindows版Officeの全ヴァージョンで修正を公開する時期は先のことであり、修正の普及にはさらに時間がかかる。旧式のシステムだとアップデートが届かないかもしれないし、あるとしても数年で終わりだろう。

一方で、マクロを使った攻撃は終わらない。ハッカー側が今回の対策を回避する方法を考えようとすることはほぼ間違いなく、「Mark of the Web」のフラグをユーザーがファイルから外すように仕向ける可能性もある。それでも、この対策はまぎれもない転換点になると、セキュリティ研究者や実務担当者たちは強調している。

「もちろん特効薬とはいきませんが、重要な転換点です。セキュリティ上の利点を考えれば、デフォルトの機能のいくつかを失う価値はあります」と、Open Crypto Audit Project（OCAP）の共同ディレクターのケン・ホワイトは指摘する。「間違いなくセキュリティの歴史に残る出来事だと考えています」

（WIRED US/Translation by Ryo Ogata, Galileo/Edit by Daisuke Takimoto）

※『WIRED』によるハッキングの関連記事はこちら。マイクロソフトの関連記事はこちら。