ホワイトハッカー

泥棒を確実に防ぎたいなら、泥棒の目線で家をくまなく見て回る必要があります。玄関の鍵がどれだけ頑丈でも、裏の塀の小さなすき間や、開けっぱなしの換気用の窓があれば、泥棒はそこを狙います。家の人は毎日見慣れているのですき間に気づきませんが、侵入者はすぐに見つけてしまいます。

デジタルの世界もまったく同じです。ファイアウォールをしっかり張り、最新のセキュリティソフトを入れていても、開発者が気づかなかった脆弱性(システムの技術的なすき間)がコードの中に潜んでいることがあります。複雑なプログラムほど、人間が作る以上、完璧にはなりえないからです。

ホワイトハッカーは、犯罪者が侵入する前にシステムを模擬的に攻撃します。わざとドアを揺すり、窓を開けてみながら、管理者が気づいていない穴を本物の攻撃者より先に見つけて、修正できるよう手助けするのが役目です。

こうして見つけた穴をきちんとふさいでおけば、あとで本物の侵入者がそこを狙っても、被害を与えられなくなります。

ハッカーという言葉は、もともとコンピューターシステムを深く探究し、問題を解決する人を指していました。ところが、悪意をもって他人の個人情報を盗んだり、システムを止めて金銭を脅し取ったりする人たちが現れ、彼らはブラックハッカー(悪意あるハッカー)と呼ばれるようになりました。

ホワイトハッカーとブラックハッカーが使う技術は、ほぼ同じです。二者を分ける決定的な違いは、所有者からの明確な事前の許可と、行動の目的です。ホワイトハッカーは、システムの持ち主との契約や、公開されたプログラムのルールなどであらかじめ承認された範囲の中だけで点検を行います。

見つけた脆弱性を悪用して不当な利益を得ることはせず、攻撃の経路と解決策をまとめた詳しいセキュリティ報告書を作って企業に渡します。最近は多くのIT企業が、自社サービスの弱点を見つけて報告してくれた人に相応の報奨金を支払うバグバウンティ(脆弱性報奨金制度)を設け、ホワイトハッカーと積極的に協力しています。

これにより、企業はセキュリティの穴を事前にふさげて、ホワイトハッカーは自分の実力を発揮しながら堂々と報酬を得られる、健全な情報セキュリティのエコシステムができあがります。

もう少し正確に言うと、ホワイトハッカーは、他人のサイトを試しに攻撃してみる模擬ハッカーだけにとどまりません。セキュリティ業界では、彼らを一般に情報セキュリティの専門家やペネトレーションテスター(侵入テストの担当者)と呼びます。

仕事の範囲はとても広く多彩です。専門分野によっては、侵入経路を探る侵入テストだけでなく、暗号化が正しく適用されているかの点検、マルウェアを逆に分析して防御体制を築く仕事、インシデント(セキュリティ事故)が起きたときに侵入の痕跡をたどるデジタルフォレンジック(デジタル証拠の分析)など、さまざまな業務を担います。

結局のところ、ホワイトハッカーにとっていちばん大切な武器は、華やかなコンピューター技術よりも徹底した職業倫理です。法的に許可された範囲を一歩でも踏み出して侵入すれば犯罪になりますし、脆弱性の情報を勝手に外部へ広めれば契約違反などの問題になりかねないため、非常に厳しいルールのもとで動いています。

どれほど優れた技術を持っていても、許可のない好奇心はただのサイバー犯罪です。約束された枠の中で、社会の安全のために力を尽くしてはじめて、本物の専門家として認められるのです。