FBIはサンバーナーディーノのiPhone事件におけるゼロデイ攻撃について、セレブライトではなく「グレーハット」ハッカーに金銭を支払ったと報じられている。

終わりのない推測ゲームの最新の展開として、火曜日の報道によると、FBI当局は昨年のサンバーナーディーノのテロ攻撃に関連するiPhone 5cへの侵入に成功した取り組みの一環として、プロのセキュリティ研究者のグループからゼロデイ脆弱性を購入したとのことだ。

ワシントン・ポスト紙は、関係筋の情報として、匿名のハッカー集団が、これまで知られていなかったiPhoneの脆弱性を悪用する脆弱性を悪用する代わりに、一回限りの報酬を受け取ったと報じています。この脆弱性はその後、テロ容疑者のサイード・リズワン・ファルーク容疑者と関係のあるデバイスへのアクセスに利用されました。脆弱性の正確な性質や金銭面の詳細は依然として不明ですが、関係筋によると、ハッカー集団はソフトウェアの欠陥を悪用し、AppleのiOSパスコードカウンターを効果的に回避するハードウェアソリューションを作成したとのことです。

本日の報道は、イスラエル企業セレブライトの関与を示唆するこれまでの主張に反する。例えば今月初め、ブルームバーグとCNNはともに、司法省が日本のサン電子のセキュリティ子会社と契約を結んだのは、連邦検察がファルーク氏のデバイスへのアクセスにアップルの協力を命じる動議をめぐりアップルと法廷で対決する予定のわずか前日だったと情報筋から報じている。

セレブライト社も司法省もこの件についてコメントしていないが、噂を受けてサン社の株価は急騰した。

この謎のセキュリティグループの正体については、本日の報告では詳細がほとんど明らかにされていないが、少なくとも1人はいわゆる「グレーハット」、つまり発見したソフトウェアの欠陥を政府や企業に販売する研究者であると考えられると述べている。

研究者は通常、2つのグループに分類されます。1つは「ホワイトハット」、もう1つは「ブラックハット」と呼ばれるグループです。ホワイトハットは、消費者向けデバイスのセキュリティ確保に向けた継続的な取り組みの一環として、脆弱性を発見し公開します。もう1つは、これらの脆弱性を私利私欲のために利用するグループです。3つ目のグループである「グレーハット」の行動は、彼らが提供する情報が、国家安全保障とプライバシーをめぐる論争の中心となっている監視ツールやデータフォレンジックツールの開発に利用される可能性があるため、倫理的に問題があります。

FBIは、現時点ではAppleとこの脆弱性に関する情報を共有する予定はない。Appleは間違いなくこの脆弱性を修正し、iPhone 5c以前のデバイスへの法執行機関のアクセスを遮断するだろうからだ。Appleは先週、FBIの回避策の有効期間は短い可能性が高いとして、この脆弱性に関する情報を得るために訴訟を起こすつもりはないと述べた。