CIAの「ひどく緩い」セキュリティが「Vault 7」のデータ漏洩を許した

ウィキリークスがどのようにしてCIAのMacハッキングツールを暴露したかに関する新たな報告書は、CIAのシステムに対するセキュリティの欠如が「容認できない」と厳しく非難している。

2017年に起きたCIAの機密データ「Vault 7」の大規模な漏洩事件を受けて、政府の調査では、漏洩の原因は「日常的なセキュリティ対策がひどく緩んでいた」ためだと報告されている。

ロン・ワイデン上院議員は、国家情報長官宛ての書簡の一部として、「ウィキリークス・タスクフォース：最終報告書」の編集版を公開した。ワイデン議員は、報告書で提起された疑問に対する「非機密扱いの回答」と、報告書に盛り込まれた複数の勧告に対する国家情報長官の今後の対応について、情報機関がどのように対応していく予定かを求めている。

「Vault 7」とは、ウィキリークスがCIAサイバーインテリジェンスセンター（CCI）から収集したデータ全体に付けた名称です。このデータには、macOSの旧バージョンを悪用する実用的な方法の詳細に加え、ソースコードや通信内容も含まれていました。「すべての文書は、程度の差こそあれ、CIAのサイバー作戦における手腕を明らかにしている」と報告書は述べています。

CIAが使用し、WikiLeaksによって暴露されたMacハッキングツールの一例として、「Achilles」と呼ばれるシステムがあります。この2011年のシステムは、Snow Leopard搭載Macを標的として開発されました。実際に使用されたという情報は残っていませんが、ユーザーには改ざんされたアプリケーションのインストールが必要だったと考えられます。

この脆弱性を含むMacの脆弱性に関する詳細は、元CIA職員のアダム・シュルテ氏から提供されたと報じられており、同氏はWikiLeaksにデータを提供した。報告書の非編集版本文にはシュルテ氏の名前は一切記載されていないが、シュルテ氏は現在も捜査中であると報じられている。

報告書は、180GBから34テラバイトの情報が漏洩したことを確認しているが、関係システムのセキュリティが不十分だったため、捜査官はより正確な情報を特定できていない。CIAがデータの盗難を認識できたのは、ウィキリークスがデータを公開したからだと報告書は指摘している。

「盗まれたデータは、ユーザーアクティビティの監視機能や堅牢なサーバー監査機能が欠如したミッションシステムに保存されていたため、ウィキリークスが2017年3月に公表するまで、私たちは損失が発生したことに気づかなかった」と報告書は述べている。

「もしデータが国家の敵対勢力の利益のために盗まれ、公開されなかったとしたら、我々はいまだにその損失に気付いていないかもしれない。これは、CIAのミッションシステムに関するデータの大部分に当てはまるだろう」と報告書は続けている。

報告書は、関係する「ミッションシステム」は当時のCCIのセキュリティ要件をすべて満たしていたと指摘している。「しかしながら、増大する重要なミッションニーズへの対応を迫られたCCIは、自社システムのセキュリティ確保を犠牲にしてサイバー兵器の開発を優先した」と報告書は述べている。

大幅に編集された報告書の冒頭からの抜粋

「機密性の高いサイバー兵器のほとんどは区画化されておらず、ユーザーはシステム管理者レベルのパスワードを共有し、効果的なリムーバブルメディア管理は存在せず、履歴データはユーザーが無期限に利用できる状態でした」と報告書は続ける。「これらの欠陥は、セキュリティを犠牲にして創造性とコラボレーションを優先しすぎるという、長年にわたる文化の象徴でした。」

この情報報告書の中で最も長い編集部分には、CIAが「進行中の複数のCIAの失敗」に対処するために何をすべきかという提言が含まれている。報告書は、「この任務システムに対する効果的な監視と監査が欠如していたこともあり、我々は損失の範囲と時期について根拠のない憶測をしている」と警告している。

しかし報告書は、CIAの最も機密性の高い情報が安全に保たれていると捜査官らが「中程度の自信」を持っているとも指摘している。

コラボレーションおよびコミュニケーションプラットフォームであるConfluenceのデータと、ソースコードリポジトリであるStashの一部のデータがWikiLeaksによって公開されました。WikiLeaksはConfluenceとStashのデータのすべてを保有していると我々は評価しています。しかしながら、WikiLeaksは保有するアーカイブのごく一部しか公開していないと主張していますが、開発ネットワーク（DevLAN）上に存在していたすべての開発ツールとソースコードの最終版を含むGoldフォルダを保有していないと我々は現在、中程度の確信を持って評価しています。Goldフォルダはより強固に保護されていました。WikiLeaksはこれまで、Goldのツールにはより新しく、より容易に悪用できるバージョンが存在するにもかかわらず、Stashのデータを公開してきました。また、Goldは数テラバイトというサイズのため、エクスポートが困難でした。