先日、こんなニュースが流れてきました。
中国・深圳の無線ルーターメーカー「Zbtリンク・エレクトロニクス」が作った自社製品に、外部から勝手に入り込める「バックドア」が仕込まれていたことが発覚しました。販売中止とアップデート対応に追われているとのことです。見つけたのはセキュリティ企業ヴァルンチェック。バックドアの名前は「エンドレスドアーズ」。名前からしてもう不穏です。20機種以上、世界で10万台以上が出回っていると推計されています。
わたしはこのニュースを見て、驚きませんでした。
やっぱりな、と思っただけです。
35秒に1回、中国のサーバーに「ただいま報告」を送っていました
このバックドア、35秒ごとに特定のIPアドレスと、中国に登録されたドメインへ自動で接続する仕様になっていたそうです。
35秒に1回です。
あなたが知らないうちに、家のルーターが35秒ごとに中国のどこかのサーバーに向かって「こちら正常です、ただいま動いています」と報告を送り続けていた。律儀すぎます。笑えません。
しかもそのドメインを第三者が乗っ取れば、ルーターどころか同じネットワークにつながっている他の機器すべてが触られる可能性があるとセキュリティ企業のCTOは指摘しています。ルーター1台の問題ではなく、家中・オフィス中への入口になり得るということです。スマホ、パソコン、プリンタ、ネットワークカメラ、スマート家電。全部です。
玄関の鍵をかけていても、勝手口が最初からついていた家を売っていたようなものです。
バックドアとは何か。一般向けに説明します
バックドアという言葉を聞いてもピンとこない方のために、わかりやすく説明します。
あなたの家に例えます。玄関には鍵がついています。窓にも鍵がついています。あなたはその鍵で家を守っているつもりです。でも実は、誰かが気づかないところに小さな扉を作っておいた。その扉は外から開けられる。しかもあなたには見えない場所にある。
これがバックドアです。
コンピューターやネットワーク機器に仕込まれたバックドアは、外部の人間が正規の手続きを踏まずに内部に侵入できる仕組みです。パスワードを知らなくても入れる。セキュリティソフトに引っかからない形で作られていることも多い。使う側が気づかないまま、何年も動き続けることがあります。
今回のZbtリンクのケースで言えば、ルーターが35秒ごとに外部のサーバーに接続していました。この接続自体が「今ここにルーターがあります、接続可能です」という信号を送り続けていたわけです。誰かがそのサーバーを乗っ取るか、あるいは最初からそのサーバーを管理している人間が意図を持てば、あなたのルーターに接続して内部に入ることができます。
ルーターはすべての通信が通過する場所です。ここに入られると、スマホで入力したパスワード、インターネットバンキングの操作、メールの内容、カメラの映像、すべてが見られる可能性があります。
大げさな話ではありません。これが現実に起きていたことです。
メーカーの言い分は「サポート用です」
これに対してZbtリンク側は「顧客が明確に依頼・承認した場合のみ、リモートで点検・設定を支援するための技術サポート機能だ」「無断でアクセスしたことはない」と釈明しています。
言い分としては理解できます。でも一番肝心なところに答えていません。なぜ機能の名前をわかりにくくしたのか。なぜ外部から遠隔操作・乗っ取りが可能な形で実装したのか。なぜユーザーに明示的な説明をしなかったのか。
「サポート用です」で押し通せるなら、勝手口も「宅配業者用の入口です」で通ります。
信じる信じないの話ではありません。そういう仕組みが最初から入っていたという事実が問題なのです。
これは戦争です
大げさだと思いますか。
わたしはそう思っていません。銃を持って戦場で戦う戦争だけが戦争ではありません。情報を盗む、インフラを止める、通信を傍受する。これが現代の戦争の主戦場です。そしてその戦場は、すでにあなたの家の中にあります。
米国は今年、安全保障を理由に外国製ルーターの輸入制限を進めています。カナダ政府も今回の件を受けてセキュリティ勧告を出しています。これはもう「一部の悪い機種があった」レベルの話ではありません。「中国製の通信機器は、そもそも設計思想として外から触られる前提で作られている可能性がある」と、国家レベルで疑われ始めているということです。
日本はどうでしょうか。
政府機関・自治体・病院・学校・インフラ施設に中国製の機器が大量に入っています。LenovoのパソコンをIT機器として一括導入している自治体がいくつもあります。セキュリティカメラに中国製品を使っている施設があります。ネットワーク機器に中国製を使っているオフィスがあります。
手遅れという言葉が頭に浮かびます。
国も大企業も信用できない理由
では国が守ってくれるのでしょうか。
わたしは期待していません。
国が中国製品の導入をやめる判断をするためには、政治的・経済的な決断が必要です。中国との貿易関係、外交的な配慮、予算の問題。これらが絡み合う中で、セキュリティリスクを最優先にした判断が速やかに下されるとは思えません。現にアメリカが動き始めてからも、日本の動きは鈍い。
大企業はどうでしょうか。コスト優先で中国製品を導入し続けているのが現実です。セキュリティより調達コストが優先される組織の論理は、個人のリスクを守ってくれません。量販店に行けば、中国製のルーターやスマートフォンが「安くて高性能」として堂々と売られています。店員はリスクを説明しません。説明できないからです。
誰も守ってくれない。だから自分で守るしかありません。
わたしが中国製品を買わない理由
ルーターに限った話ではありません。スマホも含めて、わたしは中国製品は基本的に買いません。工具や消耗品など、通信機能のないものは別の話です。でも通信機能があるもの、データを扱うもの、ネットワークにつながるものは、中国製を選びません。
以前Xiaomiのスマホを使っていました。性能は良かったです。コスパも良かったです。でもやめました。パソコン修理という仕事柄、お客様のデータを日常的に扱います。その手元にあるスマホが35秒ごとに中国のサーバーに報告を送っているかもしれない。それは仕事として許容できません。
安いのはわかります。スペックがいいのもわかります。でも35秒ごとに誰かに「ただいま報告」を送るような機械を、財布代わりに使っているスマホや、家の入口であるルーターに使うリスクを、値段の安さで正当化できるとは思えません。
これから数年で「Xiaomiのスマホを使っている人＝情弱」という認識が普通の常識として定着する時代が来ると見ています。今はまだ「安くて高性能」というイメージが先行していますが、バックドア騒動が積み重なるたびに、それは「安かろう・危なかろう」というイメージに置き換わっていくはずです。
日本のインフラに中国製品がどれだけ入っているか
ここが一番怖い話です。
政府機関、自治体、病院、学校、電力会社、交通インフラ。これらの組織のネットワーク機器や端末に、中国系メーカーの製品がどれだけ入っているか、正確なところは外からはわかりません。でもわかっていることがあります。
LenovoのパソコンをIT機器として一括導入している自治体があります。LenovoはIBMのPC部門を買収した中国企業です。ThinkPadブランドは今もLenovoが所有しています。監視カメラに中国製品を使っている公共施設があります。ネットワーク機器に中国系メーカーのルーターやスイッチを使っているオフィスや施設があります。
入札で一番安い製品が選ばれる仕組みになっていれば、必然的に中国製品が選ばれやすくなります。調達担当者がセキュリティリスクより価格を優先するのは、組織の論理として理解できます。でもその結果として、日本の重要なインフラの中に中国製の通信機器が深く入り込んでいます。
アメリカはHuaweiとZTEを安全保障上の脅威として指定して、政府機関での使用を禁止しました。イギリスも同様の措置を取りました。日本は動きが遅い。動いているとしても、すでに入り込んでいる機器をすべて入れ替えるのには膨大な時間とコストがかかります。
手遅れという言葉が頭に浮かびます。でもだからこそ、個人レベルで今すぐできることをやることが大事です。
修理屋として正直に言います
わたし自身は、バックドアによるトラブルを現場で直接確認したことはありません。正直に言います。
ただ、こういうニュースが出るたびに思うのは、「確認できていないだけで、気づいていないだけかもしれない」ということです。バックドアは設計上、使う側が気づかないように作られています。気づかないことが正常に動いている証拠にはなりません。
証明できないから安全だとは言えない。それがバックドアの一番怖いところです。
お客様の中に、中国系・韓国系の外国人の方もいます。長年お付き合いしている方もいます。人として仲良くしています。今書いていることは、人に対する話ではありません。国の政策として設計されている可能性がある製品に対する話です。人と製品は別の話です。この点は明確にしておきたいと思っています。
これは経済の話ではなく安全保障の話です
中国製品を避けようという話をすると「経済的な保護主義だ」「排外主義だ」という反論が来ることがあります。
違います。
35秒ごとに外部のサーバーに接続するルーターを、経済の話として語ることはできません。国家レベルで設計思想として外から触られる前提で作られている可能性がある機器を、自由貿易の問題として語ることはできません。これは安全保障の話です。情報戦の話です。現代の戦争の話です。
戦争という言葉を使うと大げさに聞こえるかもしれません。でも銃を持って戦場で戦うだけが戦争ではありません。情報を盗む、インフラを把握する、通信を傍受する。有事のときに一瞬で重要なシステムを止められる状態を平時のうちに作っておく。これが現代の戦争の準備です。そしてその準備は、すでに日本国内で進んでいる可能性があります。
一人一人がこのことを理解して、自分の手元にある機器を見直す。それが今できる最も現実的な防衛です。国に頼らず、大企業に頼らず、自分で判断する。知識を持った個人が増えることが、最終的には国全体のセキュリティレベルを上げることにつながります。
一人一人が今すぐできること
国が動かないなら、自分で動くしかありません。難しい話ではありません。知識をつけて、選択を変えるだけです。
まず自宅のルーターを確認してください。メーカーを調べてください。TP-Link、Xiaomi、Huawei、ZTE、バッファロー（一部製品が中国系部品を使用）など、中国系の製品であれば交換を検討してください。わたしが推奨するのは台湾メーカーのASUSです。ルーターは家のすべての通信が通過する入口です。ここだけは妥協しない方がいいと思っています。
次にスマホを確認してください。Xiaomi、OPPO、vivo、OnePlusなどの中国メーカーのスマホを使っているなら、乗り換えを検討してください。Google PixelかiPhoneが現実的な選択肢です。iPhoneはわたしは好きではありませんが、中国製スマホよりはマシという選択をする人が増えると思っています。
パソコンも同様です。LenovoはIBMのThinkPadを買収した中国企業です。わたしはThinkPadが好きでしたが、LenovoになってからはThinkPadを選ぶ気になれません。DELLやHPの方が無難です。
ネットワークカメラ、スマートスピーカー、スマート家電も確認してください。これらはすべてネットワークにつながっています。中国製のスマートカメラが家の中を撮影して、どこかのサーバーに映像を送っている可能性を否定できません。
知らないことが一番危険です
「自分は普通の一般人だから狙われない」と思っていませんか。
狙われるかどうかの問題ではありません。仕組みとして最初から外部から触れる構造になっているなら、あなたが特別な人物かどうかは関係ありません。35秒ごとに報告を送る機械は、誰の家にあっても同じように報告を送ります。
情報は現代の資産です。あなたの銀行口座、あなたの写真、あなたの家族の顔、あなたの生活パターン、あなたの人間関係。これらがスマホやパソコンに入っていて、そのデバイスが外部と通信し続けているとしたら、何が起きているかわかりません。
国が守ってくれるのを待っていたら遅いです。大企業が安全な製品だけを売るようになるのを待っていたら遅いです。自分で選択して、自分で判断して、自分と家族を守るしかありません。
知識をつけることが最初の一歩です。このブログを読み続けてもらえれば、何か気づくことがあるかもしれません。現場から書いているので、量販店のカウンターや国の広報よりは使える話が転がっていると思っています。
家電量販店の店員に「安いのでいいです」と言う前に、その機械が誰の指示で動いているのか、一度考えてみてほしいと思います。
パソコンやネットワーク機器のセキュリティ相談はパソコン本舗にご相談ください。
