ハクティビズムか単なる犯罪か? ハッカー集団LulzSecの暗躍


 今年4月、ソニーのプレイステーション・ネットワークが攻撃を受け、相当数のアカウント情報が漏えいし、公開された。その後もCIA、米上院、そしてセガのゲームネットワークなどへの大規模な攻撃が相次ぎ、これらの実行者として「LulzSec(LulzSecurity)」というグループが浮上した。いったい何者で、何を目的としているのだろう。

 

最初の大型ハクティビスト「Anonymous」

 企業や政府へのサイバー攻撃は、インターネットが普及しはじめたころから常につきまとってきた問題だ。その中で、政治的な意図を持ち、チーム名を名乗って組織的に動くようになったのは「Anonymous」あたりからだろう。

 日本語で「匿名」を意味するAnonymousは「ハッカー集団ではなく、インターネット上の集まり」を自称している。一説では、日本の「2ちゃんねる」のアメリカ版に当たる「4chan」で自然発生した組織ともいわれている。数年前から存在しているが、2010年のエジプトやトルコなど政府への攻撃、WikiLeaksへの口座を凍結したPayPalへの攻撃などで広く知られるようになった。

 その特徴の1つが「ハクティビズム」だ。インターネットを利用して、政治的主張や主義を通すための行動をとる「アクティビズム」に、「ハッキング」技術を活用する。その考え方は、「交通を遮断して行うデモ行進が実社会で認められているとすれば、インターネット上で大量のトラフィックを集中してサイトをダウンさせるDDoS攻撃も一種の抗議活動である」というもので、各種の活動(Operation)を展開している。

 

冗舌なハッカー集団「LulzSec」

 一方、この1、2カ月、メディアをにぎわしているサイバー攻撃は、実行声明などからLulzSecという集団によるものだといわれている。LulzSecは「Anti-Security作戦」と題した声明で、自由を奪う管理者に宣戦布告し、「不正・腐敗に気づいたら、直ちに暴露しよう」と呼びかけている。

 Anonymousが比較的無口だったのに対し、LulzSecはTwitterやWebサイトで盛んに自分たちの活動を語っている。2ちゃんねるを思わせるASCIIアート(“笑い”を意味する“LOL”という文字が入っている)が印象的なLulzSecのWebサイトでは「サイバーコミュニティがつまらないと思っている面白い(lulzy)個人による小さなチーム」「大切なことはfun(楽しい、面白い)で、これを責任としている」などとうたっている。

 LulzSecのWebサイトで公開されている記録によると、ハッキングの初回は5月7日で、米国のリアリティ音楽番組「X Factor」の応募者データベースにアクセスして得た応募者名、電子メールアドレス、性別、郵便番号などのデータを公開している。

 それ以来、Fox.com(5月10日)、英国のATM(5月15日)、Sony Music(5月23日)、米国の公共放送サービスPBS(5月30日)、Sony BMG(6月2日)、FBI、任天堂(ともに6月3日)などがリストされており、攻撃により得たデータベースやソースコードなどの“戦利品”が並んでいる。ただし、実行の動機らしい動機はないようで、騒動を引き起こして面白がるのが一番の目的のように見える。

 メディアはLulzSecの正体を探ろうと躍起だ。

 例えばThe Guardianは、データセキュリティImpervaの研究者のTal Be'ery氏の調査に基づき、次のような推測をしている。

・Anonymousから分離してできたグループ
・メンバー間のやりとりにはプライベートなIRCチャネルを使い、外部とはTwitterとPastebinを利用する
・攻撃にはSQLインジェクションなどのWebアプリケーションの脆弱性を悪用する
・データベースにはHavijなどの自動化ツールを利用することもある

 

Anonymousとは違う動機?

 こうしたLulzSecの行為はハクティビズムなのか、単なるサイバー犯罪なのだろうか? BetaNewsが実施している読者意識調査(6月25日時点)では、総投票1754のうち、「機密情報を漏えいするハクティビストだ。起訴は不要」が38.2%で最も多かった。だが、わずか45票差で、「サイバー犯罪だ。起訴すべき」(35.63%)となっており、ネット世論はほぼ2分しているようだ。「起訴すべき」か「起訴不要」かで分けると、「起訴すべき」が50.28%で「起訴不要」の47.95%をやや上回っている。

 Anonymousとの関係については、ハッキングに関連したディスカッションで同じニックネームを利用していることから判明したようで、New York Timesの記事で元AnonymousのメンバーというBarrett Brown氏も「Anonymousから最も著名なリーダーとハッカーが離脱してLulzSecができた」と述べている。

 なお、Impervaではメンバーと思われるニックネームとして、“Sabu”“Nakomis”“Topiary”“Tflow”“Kayla”“Joepie91”“Avunit”の7つを挙げている。

 LulzSecは6月17日、1000回目のツイートを記念してプレスリリースを出した。「親愛なるインターネット(複数形の“internets” )へ」で始まる文章では、「(われわれは)たくさんの支持者を得たが、敵もたくさんいる」と述べている。そして「すべてのハッカーがハッキングしたことを発表するわけではない」とし、本当に恐れるべきはこのようなハッカーであり自分たちではない、と自分たちは悪者ではないと主張している。

 その一方で、得た情報をすべて公開することへの非難に対し、「2011年にようこそ。おもしろいからやっているのだ」と書いている。さらに「われわれ人類の不可避の結果だ」「司法に引き出されるまで、今後もエキサイティングで新しいことを行う」と続け、「これがインターネットだ。われわれは満足という麻薬のためにお互いを食い物にするのだ」と締めくくっている。

 

少年の逮捕

 もちろん、取り締まる側も黙ってはいない。3日後の6月20日深夜、英エセックス州で19歳の少年が逮捕された。この少年は企業へのサイバー攻撃の容疑がかけられており、LulzSecと関連するといわれている。当局はこの逮捕でメンバーを暴き出したいところだが、LulzSec側は強気だ。

 LulzSecはTwitterで、「少年はLulzSecのメンバーではない。われわれはチャットルームを(少年の)IRCサーバーに持っているだけだ」「英警察はあまりにも絶望的になっており、“関連がある”といえる程度の者を逮捕してしまった」などと発言している。

 Gawkerは、LulzSecの副リーダー的存在で“Topiary”と名乗る人物とSkypeでチャットをした内容をつづっている。Topiaryはやはり「少年はLulzSecのメンバーではない」と述べ、メディアが大騒ぎする様子をあざ笑う。捕まることはこわくないのか?という質問に対しては、「心配は愚か者のものだ」と一笑に付している。

 

突然の活動終了宣言

 しかし26日になって、LulzSecは突然、活動終了を宣言した。「最後のリリース」と題したメッセージは「50日間の旅を終えた」と述べているが、終了の理由ははっきりしていない。なおメンバーが6人だったことも明らかにしている。

 LulzSecが多くのターゲットの攻撃に成功したことで、あちこちのハッカーグループの活動が活発化している。WikiLeaksの外交文書暴露以降、機密情報の公開を大儀として支持する人も増えている。次々に現れるハッカーは、関係当局を悩ませ続けるだろう。

関連情報
(岡田陽子=Infostand)
2011/6/27 10:05