絵に描いたような(10/24)
◆ 昨日はふとした事から、東京の某プロバイダ会員名簿流出事件を追ったページを見た。
加害者が会員名簿を手に入れるまでの経緯が、時に加害者自身の言葉が紹介されながら綴ってあったのだが、まさにTVドラマになりそうな経過をたどっていて興味を示さずにはいられなかった。当時新聞報道もされた事件だけにご存じの方も多いだろうが、F&F風に?色を付けるとこんな感じになる。
◆ 加害者(仮にA少年としよう)は高校生だ。彼は当時加入していたプロバイダの事業撤退に伴い、他のプロバイダを探していた。いろいろなプロバイダを検討した結果、接続料金などの安さから、彼はP社にサインアップしてみることにした。
P社ではオンラインサインアップを行えばすぐに会員になることが出来る。試用期間もあるので回線の混雑具合なども確かめることが出来る。
◆ A少年はオンラインサインアップ後さっそくダイアルアップ接続を行う。そしてFTPクライアントを使用してサーバの中を覗いているうちに、オンラインサインアップ用のスクリプトを見つける。どういう仕組みでオンライン登録を行っているのか?彼には興味があった。
スクリプトの中身がのぞけなければ話はそこで終わることになるのだが、幸か不幸かスクリプトの中身を見ることが出来たのである。
◆ この時点でA少年の心に潜む悪魔が顔を出した。いや、普通の高校生の心になら小悪魔くらいは飼っているだろう。A少年はスクリプトのセキュリティホールを見つける。そしてroot権限で自分を登録したのだ。P社は1台のサーバで会員管理からwwwサーバまでをまかなっていた。
root権限があれば会員リストを入手することなど訳無いことだ。
もちろんA少年は会員リストを入手することになる。
◆ root権限を持つA少年は会員リストから自分のデータを消去するのだが、実は後にA少年の犯罪が発覚するのはこのリストからだということをA少年は知る由もなかった。
A少年は自分がroot権限を手に入れたことを自分のホームページや掲示板に書く。これは犯罪者の心理そのもので、自分が行った偉業を多くの人に知ってもらいたかったからに他ならない。
彼はインターネット上で自分の功績?を宣伝するのみではなく、P社がいかにセキュリティ的問題を抱えていたか、それが自分に何を行わせたかを新聞に投書することまでする。
◆ A少年はTelnetが使いたかった。しかしP社はそれを許可していない。A少年は入手した会員リストを公開してほしくなければTelnetを使えるようにしろ,と、P社に迫った。
P社では最初これを無視した。が、A少年は脅迫状の通り会員リストをWeb上で公開したのだ。
それだけではA少年は満足できなかった。A少年の行っていることはP社と一対一の対決であり、世間に対するインパクトが小さいと思ったのだ。
◆ そこでcgiを利用してSPAMを各所に送り始めた。毎日数百通にも上るSPAMメールを受け取った先からはP社に苦情が殺到するが、P社ではこれに対処できる人員がいない。
A少年に言わせれば、P社の管理を自分に任せればもっとマトモなサービスが行える,と。
彼の行動は次第にエスカレートし、P社とのメールのやりとりもホームページ上に転載し始める。それにはA少年の要求とP社の困惑する想いが綴られていた。
◆ やがて警察が動き出し、P社が毎日プリントアウトしていた会員リストを調べる事になる。
すると正式な脱会届がないにも関わらず登録が消されている人物を発見する。そしてA少年は捕まる訳だが、捕まった後も「セキュリティの甘いP社に責任がある」と反省の色は見せない。
A少年は彼自身の信念に基づいて正しいことをしたわけで、彼が行ったことの重大性を少年に説明するのは意味を持たないことだったのだ。
◆ A少年は今頃どうしているのだろうか?書類送検になったという話だが、プロバイダが民事で争うことになれば(たぶん親は)多額の賠償責任を負ったに違いない。
現在のP社の様子は知らないが、pingを打ってみても応答はなかった。この事件,道ばたに落ちていた多額の現金を拾って届けなかったような話である。
行きつけの飲み屋でつい現金を拾ったことを口にして手が後ろに回ったような。
◆ 金を落とした持ち主が悪いのか?それを拾って届け出ずに使ってしまった人が悪いのか?ほとぼりが冷めた頃、A少年が再びハッカーへの道を歩むとすれば、今度は一流(つまり、捕まらないと言う面で)になるに違いない。
彼自身が「iijの会員リストを盗み出したら世界が変わる」と掲示板に書いていたことが忘れられない..
◆ このお話は事実に基づいていますが正確ではありません。真実が知りたい方はそれなりのサイトをご自分でお探しください。
|