物理的に隔離されたコンピュータは、ハッキング不可能…ではない。
「最も安全なコンピュータは、ネットワークから完全に切り離された、物理的に隔離されたコンピュータだ！」 SecOpsやシステム運用に携わるエンジニアなら、一度はこう考えたことがあるかもしれません。
ネットワークから物理的に隔離された「エアギャップ」環境は、一見すると難攻不落の要塞に見えます。ハッキングのしようがないため「これぞ究極のセキュリティ！」…と考える方も多いでしょう。
しかし、「ハッキングできない」と「“絶対に”ハッキングできない」は、イコールではありません！
….え？何を言ってるの？
と思いますよね。一休さんのトンチのようです。筆者もつい、この表現で間違えていないか何度も確認してしまいましたが、大丈夫です、あっています。
オフライン環境の「絶対安全神話」は、実は意外な方法で崩されてしまうことがあるのです。
今回は、そのオフライン環境に潜む、意外なセキュリティリスクについて、分かりやすく掘り下げてみましょう。
狙われるのはPCではなく、人間の「心」
攻撃者が狙うのは、システムの穴だけではありません。エアギャップ環境を攻撃のターゲットにした場合、彼らがまず狙うものは、人間の心。人の心理的なスキを突くこの攻撃は、「ソーシャルエンジニアリング」と呼ばれます。
ソーシャルエンジニアリングとは、システムの技術的な脆弱性をハッキングするのではなく、人間の心理的な脆弱性や、信頼、好奇心、恐怖心、あるいは親切心といった感情を巧みに利用する手口です。
具体的には、パスワードなどの機密情報を聞き出したり、不正な操作を人間自身に実行させたりします。「デジタル世界の詐欺師」や「IT版の信用詐欺師」と考えると分かりやすいかもしれません。
重要なのは、攻撃のターゲットがコンピュータやシステムそのものではなく、「人間」であるという点です。
ソーシャルエンジニアリングを使われてしまうと、物理的に隔離されていても、情報の運び屋となる媒体や人間そのものを介して、セキュリティが突破される可能性があるのです。
オフライン環境は、こうやって落とされる
古典的だが広く使われる「ベイティング攻撃」
エアギャップ環境への攻撃として最も古典的で、実際に広く使われている手法が「ベイティング攻撃」です。これは、人間を介してUSBメモリなど物理メディアで、マルウェアを送り込む手口です。
これは例えば、攻撃者が会社の駐車場の地面に「2026年度 給与査定（部外秘）」や「【極秘資料】2026年度 XXプロジェクト」と書いたラベルを貼ったUSBメモリをわざと落としておきます。
それを見つけた従業員が、好奇心や親切心からせっかくエアギャップ環境にしているPCに接続、マルウェアに感染させる、といった攻撃です。
電子機器の電磁波を傍受する「電磁波・電気攻撃」
スパイ映画さながらですが、これは電子機器から漏れ出る微弱な電磁波（漏洩電磁波）を傍受して、情報を盗み出す攻撃です。
「テンペスト（TEMPEST）攻撃」とも呼ばれ、古くから研究されている分野です。
すべての電子機器は、動作中に意図せず電磁波を放出しており、その中には処理しているデータに関する情報が含まれています。攻撃者は、専用の受信機を使ってこの電磁波を捉え、解析することで元の情報を復元します。
この手法により、PCのモニターに表示されている画面を離れた場所で再現したり、キーボードの入力内容（パスワードなど）を盗み見たりすることが可能になります。
最近では、PCのメモリ（RAM）が動作する際に発生する電磁波から直接データを抜き出す「RAMBO」と呼ばれる攻撃や、壁越しにスマートフォンで信号を受信する「COVID-bit」といった、より高度な手法も報告されています。
人間に聞こえない音でデータを盗む「音響攻撃」
こちらはSF映画のようですが、音を使ってデータを盗み出す手法があります。多くの場合、この攻撃では人間には聞こえない超音波が利用されます。
攻撃の基本的な流れは、まずはベイティング攻撃など何らかの方法でエアギャップPCにマルウェアを感染させます。そのマルウェアが、PCに接続されたスピーカーや、マルウェアによって送受信機に変えられたヘッドホンなどを使い、盗み出したいデータを音響信号に変換して発信します。
そして、近くに隠されたスマートフォンなどの録音デバイスでその音を拾い、データを復元するのです。 実際にセキュリティ研究者によって、以下のような攻撃が実証されています。
CPUファンの回転数を制御したり、ハードディスクの動作音を変調させたりして情報をエンコードする手法も研究されています。
結局、一番強いセキュリティって何？
ここでまでくると、もはや最も安全なコンピュータは、物理的に遮断はおろか「電源が入っていないコンピュータ」なんだな…と思いますよね。
これは、機能がなければ攻撃される脆弱性も存在しない、という究極の真理です。電源が入っていなければ、そもそも攻撃対象にすらなりません。
しかし、これは当然ながら極論であり、実際の業務でコンピュータの電源を常に落としておく事は無理でしょう。
しかし、この考え方は、システムの堅牢性を高める上での重要なヒントを与えてくれます。
つまり、「余計な機能はなるべくなくし、システムをシンプルに保つ」ことが、結果としてセキュリティの向上につながる、ということです。
さいごに
「オフライン環境＝絶対安全」という常識が、いかに脆いものであるかをご理解いただけましたでしょうか。
どれだけシステムを堅牢にしても、結局はそれを利用する「人間」が最大のセキュリティホールになり得るという「ソーシャルエンジニアリング」は、セキュリティ対策の原点を改めて考えさせられますね。
技術的な対策はもちろんのこと、従業員一人ひとりのセキュリティ意識の向上が、組織を守る上で非常に重要です。今後のセキュリティ対策の参考になれば幸いです。
この記事をシェア
