一般市民は簡単に引っかかる…最新のセキュリティ・ソリューションすら無力化する"サイバー攻撃プロの手口"

サイバー攻撃の被害を防ぐにはどうすればいいのか。日本カウンターインテリジェンス協会代表理事で、諜報事件の捜査に従事した経験を持つ稲村悠さんは「昨今、SNSで接触し、信頼関係を構築し、サイバー攻撃の突破口をあけられた例は少なくない。組織防衛の要諦は人間の心である」という――。
※本稿は、稲村悠『謀略の技術 スパイが実践する籠絡（ヒュミント）の手法』（中公新書ラクレ）の一部を再編集したものです。
■サイバー攻撃も最初の突破口はアナログ
近年、ロシアや北朝鮮のサイバー攻撃、日本の経済安全保障対策を蹴散らすような中国の謀略など、国家による組織的な犯罪がマスコミを賑わせている。一見すると、これらの大規模な事件は、ビジネスパーソンとは無縁の最先端のテクノロジーの世界の出来事――と思うかもしれない。しかし、一番怖い諜報は、今も昔も、人が人を篭絡(ろうらく)する泥臭い「人的諜報」（HUMINT＝ヒュミント）である。
世界を震撼させるようなサイバー攻撃なども、最初の突破口は、実に古典的でアナログなスパイ活動によってこじ開けられるケースが少なくないことを知っているだろうか。たとえば北朝鮮は、国家をあげて仮想通貨取引所などにサイバー攻撃を仕掛け、軍拡のための資金をかき集めているが、こうした悪行も、北朝鮮が半年もかけてつくりだした「人脈」が最初の突破口になっているのだ。
実際の事例を紹介しよう。
2018年、暗号資産取引所「コインチェック」が不正アクセスの被害に遭い、580億円相当の暗号資産（NEM）が流出した。
攻撃者は、北朝鮮のハッカー集団「ラザルス」と見られている。彼らの攻撃手法は一般にイメージされるテクニカルなサイバー攻撃とは一線を画していた。
■半年かけて技術者らとの信頼関係を構築
ラザルスは、SNSを通じてコインチェック社の技術者らに偽名でコンタクトを取り、コミュニケーションの中でシステム管理権限を持つエンジニアらを特定し、それぞれに対して交流を重ねていった。ラザルスは、なんと半年もの時間をかけて交流を重ねたことで、技術者らとの信頼関係を構築した。
互いにコミュニケーションを往復させる中で、油断した頃合いを狙って、ラザルスはURLリンク付きのメールをエンジニアらに送信した。一人のエンジニアがそのリンクを踏んだことで、ウイルスに感染。不正アクセスの足掛かりとなり、約580億円分の暗号資産を流出させることになってしまったのだ（IPA『情報セキュリティ白書2019』より筆者要約）。
昨今、SNSで接触して「信頼関係」を構築し、サイバー攻撃の突破口をあけられた例は少なくない。いわゆるソーシャル・エンジニアリングという攻撃手法の一つである。SNSを使用する点は目新しく見えるが、攻撃者が標的にアプローチし、信頼関係を構築するといった手法自体は、有史以来行われてきた古典的な諜報活動となんら変わりはない。
今も昔も、「信頼関係」の構築こそが、諜報活動の原点である。だからこそ、どんなに時代が移り変わっても、人間を篭絡するという古典的な手法に無関心ではいられない。筆者が最も古典的なヒュミントについて論じるのはこのためだ。
■「家族と過ごすより心が安らいだ」ロシアスパイの人心掌握術
これだけネット環境が整った時代にあっても、世界中の情報機関は、常に誰かを篭絡して情報を得ようとしている。例えば、ロシアスパイによる人心掌握術は極めて秀逸だ。その巧妙さを示すのが、2000年9月に立件されたボガチョンコフ事件だ。
この事件では、ロシア連邦軍参謀本部情報総局（GRU）スパイの在日ロシア大使館付海軍武官ボガチョンコフ大佐が、自衛官から機密情報を入手していた。
実は、この自衛官のご子息は白血病であり、家計は医療費等で逼迫していた。ボガチョンコフは、その状況を把握した上で、自衛官に狙いを定め、偶然の出会いを演出して接触。息子の病を思って心労を重ねる自衛官に常に寄り添い続けた。
この自衛官は息子のことで藁にもすがる思いで宗教にのめり込んでいた。ボガチョンコフは自衛官がのめり込んでいった宗教の教えにも理解を示し、ともに祈りを捧げることもあったという。この自衛官の妻が入信に反対していた中で、ボガチョンコフが宗教にまで理解を示したことが篭絡の決め手だったとの指摘もある。
ついに、自衛官の息子が病で亡くなった際には、ボガチョンコフは自衛官を抱き寄せ号泣してみせた。共に悲しむ姿に胸を打たれた自衛官は、完全に心を掌握され、ボガチョンコフに依存していったのだ。しかし、このボガチョンコフの涙も共感も、自然発生したものではなく、戦略として作られたものであろう。
事件後、自衛官は「ボガチョンコフといる時間は、家族と過ごすより心が安らいだ」と供述しており、ボガチョンコフは家族愛を超越した存在となっていたことが判明している。
■人が人に接触して情報を収集する活動「ヒュミント」
このように人が人に接触して情報を収集する活動をヒュミント（HUMINT）と言う。そもそも、ヒュミントとは、人間を直接の情報源とする情報収集活動全般を指す。スパイが協力者の接触によって機密情報を違法に引き出すだけではない。合法的に公然と衆人の前で質問して「答え」を得たり、囚人や目撃者を尋問して事実を探ったり、あるいは、人の目によって監視したりすることまでを含む広い意味を持つ。そして、得た情報を分析しでき上がった成果物までを総称してヒュミントと言う。
以上のように、ヒュミントには多様な手法があり、様々なスキルが要求される。中でも、紹介した事例のように、相手を篭絡してしまえば、ときには所属する組織を裏切らせてまで情報を提供させるほどの強力な力を発揮する。古今東西の人間が、人間であるがゆえに抱える本質的な弱さを狙われると、脆くも篭絡されてしまうのだ。
堅牢なセキュリティーゲートを設け、金属探知機をどれだけ厳重に施し、最新のセキュリティ・ソリューションを導入しようが、ヒュミントによって何年もかけて構築した「信頼関係」は、すべての「ゲート」をやすやすと通り抜けてしまうのだ。
■「人間の心」ほど弱いものはない
私は、警視庁公安部時代に諜報活動を目の当たりにし、なぜ普通に生活を送っていた人がスパイにやすやすと篭絡されるのかと大きな疑問を持ち続けてきた。その後、民間の世界に出て、企業に対して技術流出対策の具体的支援を行っているが、そこでも、常に「人の弱さ」こそが重大な課題となっていることを痛感した。こうした官民での経験をもとに、「人の心の弱さ」を考察し続け、本書を書くことにした。
本書は、ヒュミントの中でも特に「人を篭絡する手法」に焦点を当て、人の心を動かす方法を検証し、体系的に論じることを試みる。（※本書では、諜報活動に当たる「スパイによるヒュミント」を中心に論じるが、その枠を超え、工作活動を含む「謀略」に近いニュアンスで語ることもあるため、事前に認識頂ければ幸いである）
■組織防衛の要諦は「人間の心」
最も古典的な人的諜報「ヒュミント」を成功させるために使われる「人との関係を構築する方法」とは何か。歴史的な事件や旧ソ連国家保安委員会（KGB）から漏れ出たリーク文書、学術研究、米陸軍が刊行したマニュアル、米中央情報局（CIA）や英情報局秘密情報部（MI6）などの元職員らによる証言などを読み解きながら、各国に共通する方法、技術、その手口を詳らかにしたい。
よく、スパイは人たらしだと表現されるが、それは先天的な能力とばかりはいえない。彼らは試行錯誤で蓄積してきたノウハウを駆使し、緻密な計算と戦略を持って標的に迫り、狙い通りに標的を篭絡してゆくのである。その手口を知らなければ、無防備な一般市民は赤子のように簡単に篭絡されてしまうだろう。
人間の心ほど弱いものはない。つまり、組織防衛の要諦は、「人間の心」なのである。また、裏を返せば、あらゆる仕事を成功させるためにも、最も効果があるのも、人間の心を狙うことなのである。
本書が組織防衛上、最大の弱点となる人的要因を克服する一助となり、人間関係を構築するための本質を知る手がかりとなることを願っている。

----------

稲村 悠（いなむら・ゆう）

Fortis Intelligence Advisory代表取締役

1984年生まれ。東京都出身。（一社）日本カウンターインテリジェンス協会代表理事、外交安全保障アカデミー「OASIS」講師。大卒後、警視庁に入庁。刑事課勤務を経て公安部捜査官として諜報事件捜査や情報収集に従事。警視庁退職後は、不正調査業界で活躍後、大手コンサルティングファーム（Big4）にて経済安全保障・地政学リスク対応に従事した。その後、Fortis Intelligence Advisory（株）を設立。経済安全保障対応や技術情報管理、企業におけるインテリジェンス機能構築などのアドバイザリーを行う。また、日本カウンターインテリジェンス協会を通じてスパイやヒュミントの手法研究を行いながら、官公庁（防衛省等）や自治体、企業向けへの諜報活動やサイバー攻撃に関する警鐘活動を行う。著書に『企業インテリジェンス』（講談社）、『防諜論』（育鵬社）、『元公安捜査官が教える 「本音」「嘘」「秘密」を引き出す技術』（WAVE出版）。

----------

（Fortis Intelligence Advisory代表取締役 稲村 悠）