コンピュータウイルス｜寄生して自己増殖する不正プログラム

コンピュータウイルス

コンピュータウイルスは、他のプログラムやファイルに寄生して自己を複製し、利用者の意図しない動作を引き起こす不正なプログラムである。生物のウイルスが宿主細胞なしでは増殖できないことになぞらえて、この名称が付いた。現在はマルウェアという総称の一分類として扱われることが多い。日本では1990年に当時の通商産業省が「コンピュータウイルス対策基準」を告示し、「自己伝染機能」「潜伏機能」「発病機能」のうち1つ以上を持つものと定義した。この定義は、狭い意味のウイルスより広い範囲を含む行政上の定義として現在も参照されている。

名称の由来と初期の事例

学術用語として定着したきっかけは、1983年に南カリフォルニア大学の大学院生フレッド・コーエンが行った実験である。翌1984年に発表した論文で、彼は自己複製するプログラムを「computer virus」と呼んだ。ただし、実際の被害が広がったのはそれより後になる。1986年にはパキスタンで作られた「Brain」が、IBM PC互換機のフロッピーディスクのブートセクタに感染して世界中に広まった。当時はネットワークがまだ普及していなかったため、感染経路の中心は人の手で受け渡されるリムーバブルメディアだった。1999年の「Melissa」や2000年の「ILOVEYOU」で、電子メールに添付されて拡散する形が主流になった。

狭義のウイルスと他のマルウェアの違い

技術的には、宿主となるファイルを必要とするかどうかで区別する。宿主に寄生するのがウイルス、単独で動いてネットワーク経由で自分を広げるのがワーム、有用なソフトウェアを装って侵入し自己複製しないのがトロイの木馬である。報道や日常会話ではこれらをまとめて「ウイルス」と呼ぶことも多く、セキュリティ製品の名称に「ウイルス対策」が残っているのもその名残といえる。

感染対象による分類

感染する場所で分けると、実行ファイルに寄生する「ファイル感染型」、起動領域を書き換える「ブートセクタ型」、文書ファイルのマクロ機能を悪用する「マクロ型」がある。マクロ型は1995年ごろに表計算ソフトや文書作成ソフトの普及とともに増えた。実行ファイルではない文書ファイルでも感染源になるという点で、利用者の警戒心のすき間を突いた形といえる。近年はファイルを残さずメモリ上だけで動く「ファイルレス」型も見られ、パターンファイルとの照合だけでは見つけにくい。

検出方式の変遷

初期の対策ソフトは、既知のウイルスの特徴的なコード列（シグネチャ）と照合する方式が中心だった。その後、プログラムの振る舞いから不審な動作を推定するヒューリスティック方式や、端末上の挙動を常時記録して分析するEDR（Endpoint Detection and Response）が加わった。

製造現場における被害と特殊事情

2010年に発見された「Stuxnet」は、イランのウラン濃縮施設で使われていたシーメンス製のPLCを狙ったものとして知られる。USBメモリを入口に、インターネットから切り離された制御システムまで届いた点が注目された。2017年のランサムウェア「WannaCry」は約150か国に広がり、日本国内でも自動車メーカーの工場が生産ラインを一時止めている。製造業でこうした被害が大きくなりやすい理由の一つは、設備の更新周期が10〜20年と長いことにある。工作機械や検査装置に組み込まれたパソコンが、サポートの終わった古いオペレーティングシステムのまま動いている例は今も珍しくない。装置メーカーの動作保証が外れるため、ユーザー側でOSの更新やセキュリティ製品の導入ができないこともある。現場の実務では、こうした端末をネットワーク上で分離したり、ホワイトリスト型の対策ソフトを入れたりする方法がよく使われる。後者は許可したプログラム以外を実行させない方式で、端末1台あたり年間数万円程度の費用で導入できる製品が多い。

関連する規格とガイドライン

情報セキュリティマネジメントの国際規格としては、ISO/IEC 27001が広く使われており、日本ではJIS Q 27001として採用されている。工場やプラントなど、制御システムを対象とする規格にはIEC 62443シリーズがある。さらに、経済産業省は2022年に「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」を公表した。取引先から自社のセキュリティ水準を確認されることも増えており、サプライチェーン全体の対策を求める調達条件として、これらの規格に沿っているかを問われる場面がある。

日本における法的な位置付け

2011年の刑法改正で「不正指令電磁的記録に関する罪」（刑法第168条の2・第168条の3）が新設された。正当な理由なくコンピュータウイルスを作ったり、提供したり、他人のコンピュータで実行できる状態にしたりする行為は、3年以下の拘禁刑または50万円以下の罰金の対象となる。取得や保管も2年以下の拘禁刑または30万円以下の罰金が科される。この規定は、研究やセキュリティ製品の開発といった正当な目的での取り扱いまで罰するものではない。ただ、どこまでが処罰の範囲に入るのかが議論になった事件もある。

実務上の主な対策

対策は、技術・運用・人の3つの面を組み合わせて考える。製造業の現場でよく行われている対策は次の通りである。

• 情報系ネットワークと制御系ネットワークの間にファイアウォールを置き、通信を必要なものだけに絞る
• USBメモリなど外部記憶媒体の持ち込みを登録制にし、専用の検疫端末でスキャンしてから使う
• OSやソフトウェアの更新プログラムを、検証してから計画的に適用する
• 重要なデータのバックアップを、ネットワークから切り離した媒体に定期的に保存する
• 保守業者がリモートで接続するための経路を一覧にして管理し、使わないときは閉じておく

ランサムウェアによるデータの暗号化に対しては、オフラインのバックアップが最後の守りになる。一方、これらの技術的対策は、標的型メールの添付ファイルを開いてしまうといった人の操作で簡単に破られる。そのため、従業員への訓練も対策の中で大きな比重を占めている。