婀娜骨(あだぼね)

第９章 師匠の映画的ハッキング手法

　水曜の24時半、俺はDiscordを開いた。

「お疲れ様です、師匠。タイでの暮らしには慣れました？」

『お疲れ～フシギソウちゃん。まぁまぁ慣れたけど、食べ物の違いは未だに感じるね。何もかも辛いのなんのって。日本食が恋しいよ』

　師匠は3年前までは日本にいたが、今はタイにいる。東南アジアは詐欺グループの温床として最近流行っているらしい。師匠が活動しているグループは、年々規制の厳しくなる日本から早々にタイに移った。師匠は『道具屋』としてそれについて行き、タイに引っ越した。生活力の無い師匠がタイで暮らせるのかと俺は少しだけ心配していたが、案外なんとかなっているようだ。コミュ力は謎にあるからな、師匠。

『んー、それで、力を借りたいことって？』

「それなんですけど……実は、絶対バレないよう個人情報を抜く方法があれば、知りたいんです。……今度、セキュリティの厳しいターゲットをハッキングしないといけなくて。俺、サイバー攻撃とかはあんまりやったことないから、不安があって」

　俺は何回か練習した嘘を淀みなく暗唱した。

『絶対にバレない……ねえ。ヤバい案件？首突っ込みすぎんなよ』

「……できますか？」

『んー。絶対ってのは難しいかもしれないな。でも、見つかる危険性を下げることはできるよ』

「本当ですか！？」

『いつも言ってるだろ、サイバーセキュリティの世界では、攻める側と守る側では攻める側が圧倒的に有利なんだよ』

「はあ……」

『慎重にいくなら…そうだな、あっちの設備については分かってる？　監視カメラはある？』

「い、いや……それはまだ分かってなくて。後で調べときます」

　玲サンやサルあたりに聞かないと、そこまでは分からない。

『ん－……まったく。フシギソウちゃんは下調べがなってないな。ハッカーは段取り8割なんだぞ。独り立ちしたんだから、そんくらいちゃんとしとけ』

『ハッカーは段取り８割』というのは師匠の口癖の一つである。おおかた自己啓発書かなんかで見つけた言葉なんだろう。

『んー』とよく言うのも口癖だが、こちらは無意識らしい。

「はいはい……。でも、勘ですけど、監視カメラなら多分あるんじゃないかなと思います」

　うちのグループの事務所にも、金庫がある部屋を中心に十数台は監視カメラが設置されている。数台くらいは、向こうのグループにもありそうに思える。

『よし……んじゃ、まずはそこからだな』

　そこから、というのは、脆弱性を突くポイントのことだ。ハッキングの対象はPCやスマートフォンにはとどまらない。むしろ脆弱なのは、購入されてから一度もパスワード変更されていないことが多い、監視カメラやスマート冷蔵庫なんかのIoT機器である。便利な時代というのはハッカーにとっても便利なものなのだ。

『監視カメラ乗っ取れれば、サイバー攻撃の踏み台としても利用できる上に、ターゲットの一日の行動なんかも分かるしな。そうしたら、バレにくい時間帯も分かる』

「確かに。さすが師匠」

『ん－、バレないこと重視だったらブルートフォース・アタックはやめときな。リバース・ブルートフォース・アタックの方が検知されにくい』

「そんくらいは分かってますって」

　ブルートフォース・アタックやリバース・ブルートフォース・アタックというのは、ハッキングの手口のことである。ブルートフォース・アタックは、文字種や文字数を指定し、億を超えるパターンを総当たりで試してパスワードを特定することができる方法だ。しかし、この手口はパスワード試行の回数や速度が速いことによってセキュリティ機器に検知されることがある。その点リバース・ブルートフォース・アタックは、パスワードは変えずにユーザー名を変えながらログインを試すので、検知されにくいのだ。

『ん－と、つまり、まずは監視カメラを始めとした周辺機器の検索。SHODANやCencysを使えばすぐ状態が分かるだろう。分かったらリバース・ブルートフォース・アタック使って監視カメラ優先で侵入して、人のいない時間帯を確認。監視カメラでなくても、脆弱そうな機器があったら攻撃試していって』

「了解です」

　SHODANやCensysというのは、インターネットに接続された機器をスキャンし、その情報を収集している検索サービスである。本来はインターネット接続機器のセキュリティ向上のために開発されたそうだが、こうして悪用されてハッキングに使われまくっているのは皮肉なもんだ。これらのサービスでは、機器のIPアドレス、ポート番号、位置情報のほか、バージョン情報、初期ユーザー名やパスワード、匿名接続の可否なんかも分かる。これを使えば向こうの脆弱な部分は一目瞭然だ。

『ん－問題は本番の攻撃だな……個人情報のうち、どういう情報が必要かは分かってる？』

「ま、まあ……」

　本当はまだ、必要な情報が何なのかは玲サンが調べてくれている最中だが。

『まあいい。どうせPC内のファイルか、もしくは顧客管理システム内のファイルでしょ。個人情報抜くだけなら画面キャプチャまでは必要ないね』

「そうですね」

『ん－。本番の攻撃をどう構築しようかな。PCはマルウェアで遠隔操作できそうならするとして……。あと、操作するPCが映ってる監視カメラ映像にはダミーを流しとくとよりいいな。そうだ、個人情報を送るときはさすがにセキュリティ機器に感知されるかもしれないから、ある程度あっちのＩＴ担当を攪乱する必要があるかもなあ』

「攪乱ですか……」

　すごい。なんだか師匠が本当に映画のハッカーみたいな感じだ。なんかアドレナリン出てきた気がする。

『ターゲットはWebサイト持ってるか？』

「うーん……微妙っすね」

　詐欺グループがおおっぴらなホームページを持ってるとはあまり思えない。あ……でも、もしかしたら。

　相手は詐欺グループだ。フィッシング詐欺に手を出していれば、フィッシングサイトがあるはず。他にも詐欺サイトの一つや二つは、持ってるかもしれない。

「あ、やっぱ、あるかもしれないです」

『お、なら話は早いね。作戦は二段構えにしよう』

「二段構え……ですか？」

『そう。一つはWebサイトへのDDoS攻撃によるサーバのダウン。二つ目はPCの遠隔操作による個人情報の窃取』

「はあ」

『作戦はこうだ。まずは、さっき言った方法で乗っ取った監視カメラをマルウェアで遠隔操作してダミーの映像を流しておく。遠隔操作ならRATがいいかな。次に、乗っ取った他の周辺機器を操作してターゲットのWebサイトにDDoS攻撃を仕掛け、Webサーバをダウンさせる。その間にPCを遠隔操作、個人情報がPC内にあればそれをフシギソウちゃんのPCに送信。顧客管理システムにあるようだったら、そこをハッキングして個人情報をダウンロードして送信。社内のPCからだったら比較的簡単だと思うけど、難しそうならSQLインジェクションとか使ってみて』

「待ってください師匠、速いです！！もうちょっとゆっくり、あと分かりやすく」

『ん－、しょうがないな。RATは知ってるでしょ』

「……なんでしたっけ？」

『教えたはずだけどなあ……。RATはRemote Access Trojanの略、遠隔操作ウイルスのこと。次にDDoS攻撃は……』

「あ、それは知ってます知ってます。大量のデータを送って、サーバをダウンさせるサイバー攻撃ですよね。攻撃に使うデバイスが１つならDoS、複数のデバイスを踏み台にして使うときはDDoSって言うんでしたっけ」

『その通り。SQLインジェクションは？』

「えっと確か……ターゲットのWebサイトに、詐欺サイトとかのURLを載せたポップアップを仕掛けるやつ……ですよね？」

『違ーう！！　それはクロスサイト・スクリプティング。SQLインジェクションはデータベースとかの操作に使うSQL言語をいじって、好き勝手操作するやつだよ』

「あれ……そうでしたっけ？」

『フシギソウちゃん物覚え悪いよね～、前からだけど』

「ぐ……生活力では師匠に勝ってますから……」

　俺はふと師匠に教えられたことを１つ思い出した。

「あれ、RATは検知できないように設計されてるんじゃなかったでしたっけ？　遠隔操作がバレないはずなら、なんで作戦を二段構えにしたんすか？」

『お、ちょっとは教えたことが残ってるみたいだ。その通り、RATはセキュリティの検出を回避するように設計されてる。だけど、大量のデータを顧客管理システムから送ろうとすると、管理システムの方が異常を検知するかもしれないからね。念のためさ』

「なるほど～頭いいっすね」

　俺が納得して頷いていると、イヤホンから師匠の小さめな声がボソボソと聞こえた。

『……まあ、せっかくなら派手なことしてみたいな～っていう気持ちも少々……』

「……師匠？」

『何でもない！！　よし、そうと決まれば練習あるのみ。フシギソウちゃんはRATもDDoS攻撃も、SQLインジェクションもあんまりなじみがないもんね。使うツールも合わせて手取り足取り教えちゃう。あ、ソフトの脆弱性の探し方とかも教えた方がいいか。腕が鳴るぞ～！！』

「あ、あざっす」

『いつも使ってる仮想マシンのテスト環境で、基本的な使い方は教えてくから！！　あとは～、実践はやっぱり本番環境がいいよなあ。よし、僕が適当に個人情報欲しい会社にハッキングかますから、フシギソウちゃんはまずは見てて。』

「いいんですか？」

『いーのいーの、僕もそろそろ『道具屋』の仕事しなきゃだったし。フシギソウちゃんも一社、適当にやってみ』

「ええっ！？」

『こーゆーのは習うより慣れろだよ～。大丈夫大丈夫、僕もフシギソウちゃんも巧妙に複数の国のサーバ経由してあるでしょ～、バレるわけないってぇ』

　目を爛々と輝かせて舌なめずりしている師匠が見えるようだ。見た目はわりと穏やかに見えるが、師匠は生粋のハッカー。こういう時が一番、楽しそうにしている。

「もう……どうなっても知りませんよ！！」

　まあ俺も、ちょっと楽しんでるけど。

　結局俺たちは、明け方まで夢中になってハッキングにいそしんだ。俺はすぐに各種ツールを使いこなし、師匠を驚かせた。物覚えは悪いかもしれないが、俺の強みは吸収力と応用力。初見のツールでも結構なんとかなる。

　俺たちは上手い具合に人気のない会社を２社見つけ出し、師匠と交互にハッキングして個人情報というお宝を見事にぶんどった。きっと会社の奴らは朝にはパニック状態、明日の午後あたりにはニュースにも載るかもしれない。なかなかいい気分だ。

　午前6時、俺は師匠に感謝を告げ、師匠は俺の健闘をひとしきり称えた後『おやすみ』と通話を切った。

　俺は練習台としてハッキングの餌食になった不憫な会社の奴らに1秒くらい合掌し、シャワーを浴びに向かった。この分だと睡眠をとるヒマはなさそうだ。看病の合間に仮眠しよう、と俺は大あくびをしながら思った。