見えない感染：ただウェブサイトにアクセスするだけでハッキングされるのか

闇からの招待状

午前2時。スマートフォンの画面が短い振動とともに点灯する。差出人不明のテキストメッセージ。本文はなく、ランダムな英数字が並ぶ短いURLだけが残されている。画面を見つめる。好奇心と不安。リンクをタップした瞬間に、端末内の全データが暗闇のサーバーへと吸い込まれるのではないか、という想像。結局、画面を消し、デバイスを伏せる。

伝染という都市伝説

現代社会を生きる者が一度は耳にする鉄則がある。素性の知れないリンクは決して開くな、という警告だ。人々の認識において、悪意あるウェブサイトは放射性物質の汚染地帯に近い。足を踏み入れた瞬間、つまりブラウザでページを開いただけで、デバイスは修復不能な感染状態に陥ると信じられている。ネット上のコミュニティやニュースのコメント欄には、この種の怪談が溢れている。スパムのリンクを誤ってタップしたところ、画面が一瞬白くなり、数日後に銀行口座から資金が消失した、あるいは写真フォルダの私的な画像が海外のサーバーへ転送された、という類のものだ。被害者たちは異口同音に主張する。自分は何もダウンロードしていないし、個人情報も入力していない。ただ、サイトに1秒ほど滞在しただけだと。私たちはこれを、ワンクリックですべてが崩壊する致命的なハッキングとして受け入れている。

綻びを見せる疑問

しかし、この冷ややかな怪談の前には、見過ごせない巨大な矛盾が横たわる。もしウェブサイトへのアクセスだけで即座にハッキングが成立するなら、現在のインターネットエコシステムは成立し得ない。検索エンジンは毎日数十億のウェブページを巡回し、私たちは日常的に未知のページへとアクセスを繰り返す。ニュース記事を一つ読むだけで、背後では数十の広告サーバーや追跡コードが同時に作動している。アクセスだけで制御権を奪われるのが事実なら、なぜ日常的なウェブサーフィンに警告が発せられないのか。なぜスパムメールのリンクだけが黒魔術を宿しているかのように語られるのか。都市伝説は技術的現実と衝突する。真実を知るには、ブラウザの内部構造とサイバー兵器市場の深淵を覗く必要がある。

私たちは、見えない境界線を越える行為そのものを恐れるよう学習させられている。

ガラスの壁の内側

私たちが日々利用するChromeやSafari、Edgeといったブラウザは、想像以上に偏執的な設計を施されている。これらは原則として、ネット上のあらゆるコードを敵対的なものとみなす。リンクを踏んでサイトにアクセスすると、ブラウザはテキスト、画像、そしてJavaScriptなどのコードをダウンロードして描写する。このとき実行されるコードは、サンドボックスと呼ばれる隔離環境に閉じ込められる。サンドボックスは、内部で爆発が起きても破片を外に通さない防弾ガラスの箱だ。悪意あるコードがサンドボックス内部から連絡先に触れようとしたり、システムファイルに干渉しようとしたりすれば、OSはその逸脱行為を即座に遮断し、プロセスを強制終了する。ブラウザのサンドボックスを突破してデバイス全体を瞬時に掌握することは、設計上、不可能性に近い。ただアクセスしただけで感染する魔法は、一般的な環境では存在しない。

莫大な影のコスト

むろん例外はある。サンドボックスの脆さを突き、ユーザーの追加動作なしにデバイスを乗っ取る手法が存在する。セキュリティ業界でゼロクリック、あるいはドライブバイダウンロードと呼ばれる技術。これこそが、都市伝説の語るハッキングの実体だ。では、フィッシング詐欺を企てる組織がこの技術を駆使している可能性はどれほどあるか。ここに冷徹な経済合理性が介入する。ブラウザとOSの多重防御を一度に突破するには、未公開の脆弱性、すなわちゼロデイが必要となる。サイバー兵器の闇市場において、その価値は天文学的だ。脆弱性の仲介業者ゼロディウムのリストによれば、ゼロクリックで最新デバイスを掌握するエクスプロイトの取引価格は200万ドルを超える。GoogleやAppleの防御網をすり抜けるこの脆弱性は、現代のサイバー戦における戦略兵器そのものだ。偽の医薬品を売りつけるような末端の犯罪組織が、数百万ドルの兵器を保有している確率は皆無に等しい。犯罪の世界であっても、投資対効果は厳密に計算される。

数百万ドルのサイバー兵器が、個人の財布から端金を引き出すために消費されることはない。

標的となった少数

では、その高価な脆弱性は誰がどう使うのか。主導するのは国家の諜報機関や、最高峰のハッカー集団だ。彼らは密かに脆弱性を買い取り、ペガサスのような軍事用スパイウェアを仕立て上げる。ジェフ・ベゾスのスマートフォンが乗っ取られた際、あるいは国家の反体制派やジャーナリストが監視下におかれた際に用いられた技術がこれだ。彼らはメッセージを開いただけで、制御権を失った。しかし、この兵器には致命的な弱点がある。秘匿性の維持だ。脆弱性が無差別に使われ、その痕跡が一度でも露出すれば、ビッグテックのセキュリティチームが即座にパッチを配備する。アップデートが適用された瞬間、巨費を投じた兵器は一夜にして無価値化する。ゆえに、この種の手法は政府高官や軍関係者、スパイ、大企業のCEOなど、価値の極めて高い特定の標的に対してのみ、慎重に、かつ一限りのものとして使用される。一般人がその射程に入る確率は、落雷に二度連続で遭遇するよりも低い。

真のハッカーは画面の外にいる

OSやブラウザを定期的に更新している現代のデバイスは、ウェブページを開いた程度で屈するほど脆弱ではない。ならば、連日のように報告されるハッキング被害や、口座から資産を失った人々のデバイスはどのように侵入されたのか。真実は技術的欠陥ではなく、人間の心理を突くソーシャルエンジニアリングにある。犯罪者は、強固なサンドボックスのガラスを叩き割る代わりに、ユーザー自らが扉を開けるよう誘導する。配送業者を装った偽のサイトへアクセスさせ、通関手続きを名目に悪質なアプリをインストールさせる。あるいは、偽の決済領収書を送りつけ、返金の手続きとして添付ファイルを実行させる。GoogleやMicrosoftそっくりのログイン画面を表示し、ユーザー自身に資格情報を入力させる。

ハッキングは闇の魔術ではなく、精巧な欺瞞によって完結する。ただリンクを踏んだだけという被害者の言い分は、自ら罠に足を踏みれた致命的な過失をテクノロジーのせいにしたい、自己防衛の心理が編み出した言い訳かもしれない。不審なファイルを自らダウンロードせず、素性の知れないアプリに権限を与えなければ、デバイスは安全だ。都市伝説の霧は晴れた。リンクそのものが牙を剥くことはない。しかし、安堵するのは早い。真の脅威は、隔離されたサンドボックスの中ではなく、画面を見つめる視線と判断力の隙間に潜んでいる。セキュリティにおいて最も脆弱な防壁は、いつだってデバイスを握るその手だ。