携帯電話の通話・メール・位置情報を無断で盗み取るスパイツールを国家に売りつける「Circles」とは？

スマートフォンなどにネットワーク機能を提供するために世界中に構築されている移動通信システムを悪用し、世界中で行われている通話やメールの内容を傍受したり、ネットワークに接続している端末の位置情報を追跡したりすることができるスパイツールを国家に販売する企業「Circles」の存在を、トロント大学のグローバルセキュリティ研究所であるThe Citizen Labが指摘しています。Circlesは、iOSとAndroidを狙う究極のスパイウェアといわれる「Pegasus」を開発するNSO GROUPとのつながりも指摘されています。

Running in Circles: Uncovering the Clients of Cyberespionage Firm Circles - The Citizen Lab
https://citizenlab.ca/2020/12/running-in-circles-uncovering-the-clients-of-cyberespionage-firm-circles/

2013年、アメリカ政府がGoogleやAppleなどのサーバー上に存在する個人情報をのぞき見することができる監視システム「PRISM」を、5年以上にわたって運用してきたことが明らかになりました。国境を超えた監視が政府主導で行われてきたことが大きな話題となったわけですが、このような大規模監視を行うためのツールを、今では企業が販売していることが問題視されています。全世界レベルでの広範な監視を行うことが可能になるツールは、移動通信システムに存在する脆弱性を悪用したものが普及しつつあるとのこと。

移動通信システムに存在する脆弱性のひとつとして指摘されているのが、共通線信号No.7(CCSS7)に由来するものです。CCSS7は異なる電気通信事業者間で情報を交換し、電話をルーティングするために1975年に開発されたプロトコルスイート。CCSS7の開発時、電話ネットワークは一部の電気通信事業者により独占的に構築されていたため、当時はCCSS7に認証やアクセス制御を含める必要性がありませんでした。しかしその後、規制緩和とスマートフォンの普及により、CCSS7は広く使用されるようになります。その結果、認証プロセスによりアクセス規制が一切ないCCSS7は、攻撃者の標的となるようになったそうです。

CCSS7を活用することで、攻撃者は携帯電話の音声通話やSMSテキストメッセージを傍受できるだけでなく、携帯電話の位置情報を追跡することも可能になるとのこと。また、SMSを傍受できるため、SMSに送信される2要素認証用のコードを傍受することもできます。電気通信時事業者にとって、悪意のあるトラフィックと通常のトラフィックを区別することは困難かつ費用がかかる行為であるため、CCSS7の脆弱性を突いた攻撃をブロックすることは難しいそうです。

CCSS7は主に第2世代移動通信システム(2G)および第3世代移動通信システム(3G)で使用されており、日本では主要な第4世代移動通信システム(4G)は別のプロトコルであるDIAMETERを採用しています。ただし、DIAMETERでも認証によるアクセス制御機能はオプションで提供されているため、CCSS7が引き起こす問題が第5世代移動通信システム(5G)以降の移動通信システムにも引き継がれる可能性が叫ばれています。

そんなCCSS7の脆弱性を突いたスパイツールを構築している企業のひとつが「Circles」です。Circlesは2008年に設立された企業で、2014年にFrancisco Partnersに買収されたことで、NSO GROUPと合併することとなりました。CirclesはCCSS7の脆弱性を突いたスパイツールを世界各国の政府に独占的に販売しているそうです。Circlesのスパイツールが凶悪なのは、他の監視システムとは異なり、監視相手の端末にマルウェアを仕込む必要がないという点。CCSS7の脆弱性を悪用しているため、CCSS7を用いた移動通信システムを使用するユーザーは、すべてが監視対象となってしまうわけです。

Circlesの実態はほとんどが謎に包まれていますが、内部からのリークにより一部詳細が明らかになっています。Circlesのスパイツールは、電気通信事業者が構築するインフラストラクチャーに接続する形で使用するシステムと、世界中の通信事業を相互接続してクラウド経由で通信を傍受する「Circles Cloud」の2つが存在するそうです。

Circlesの提供するスパイツールがPegasusとどのように統合されているのかは不明ですが、NSO GROUPの元従業員は「PegasusはCirclesとひどい統合をしている」「Circlesはシステムの能力を誇張している」と語っています。

Circlesは世界中の通信内容を傍受することをより容易に行えるようにするために、「Circles Bulgaria」という偽の電話会社を設立しています。このCircles Bulgariaについて調査したところ、ファイアウォールのホスト名などを特定することに成功。その結果、Circlesの従業員が「@tracksystem.info」のドメインを含むメールアドレスでやり取りを行っていることが明らかになっています。

最終的に、252のIPアドレスからCirclesの顧客である可能性が高い25の国家をThe Citizen Labが特定。さらに、WHOIS情報やパッシブDNS、ファイアウォールIPなどの情報に基づき、Circlesの顧客と思われる17の政府機関を特定することにも成功しています。

Circlesの顧客である可能性の高い25の国家および、17の政府機関は以下の通り。

・オーストラリア
・ベルギー
・ボツワナ(情報セキュリティサービス局)
・チリ(調査警察)
・デンマーク(陸軍司令部)
・エクアドル
・エルサルバドル
・エストニア
・赤道ギニア
・グアテマラ(市民情報総局)
・ホンジュラス(国家情報局)
・インドネシア
・イスラエル
・ケニア
・マレーシア
・メキシコ(メキシコ海軍、ドゥランゴ州政府)
・モロッコ(内務省)
・ナイジェリア(国防情報局)
・ペルー(国家安全保障局)
・セルビア(安全保障情報局)
・タイ(国内治安部隊、軍事情報大隊、麻薬抑制局)
・アラブ首長国連邦(国家安全保障最高評議会、ドバイ政府、王室グループ)
・ベトナム
・ザンビア
・ジンバブエ

政府機関を顧客として大きく成長しているCirclesについて、The Citizen Labは「Circlesの顧客となっている政府機関の多くは、人権侵害および技術的な監視機能の乱用という悲惨な過去を持っています。Circlesの顧客の多くは公共の透明性と説明責任を欠いており、セキュリティ機関の活動に対する独立した監視が存在しない、あるいは最小限であるという国ばかりです」と指摘しています。

また、The Citizen Labは「CCSS7の脆弱性を悪用するCirclesのような企業を調査・追跡することは非常に困難です。CCSS7を用いた攻撃の多くは監視対象との関わりを必要としないため、監視対象の使用する端末上にスパイ行為を働いた痕跡が残ることはありません。そして、電気通信事業者の透明性の欠如が、Circlesのようなスパイ企業の活動を隠すことにつながり、スパイツールが活用される可能性をさらに広めることにもつながっています」と述べ、電気通信事業者の透明性の欠如が問題の根底にあるとしています。

Circlesの顧客となっている政府機関に対して、The Citizen Labは「過去10年間で世界的な監視産業の爆発的増加により、スパイ技術が問題のある体制やセキュリティサービスに使用されるようになりました。こういった団体は、新たに獲得したスパイツールを活用することで、国境を超えた人権侵害を行い、政治的反対意見を封殺しようとしています。Circlesはそれらの団体と密接な関係を持ち、過去にスパイツールを乱用したという悪名高い実績を持つNSO GROUPとの合併が報告されているため、特に懸念されるべきです」と語りました。

加えて、The Citizen Labは監視産業が成長することで、合法的かつ民主的な活動が縮小し続ける可能性を危惧。市民の権利を保護するために、「より強固な国内外における法的枠組みを制定し、監視技術の輸出入を厳格に監視すること」「Circlesのような監視ツールを開発・販売する企業に対し、デューディリジェンスを徹底し、違反した際には厳しい罰則を執行するシステムの構築」「監視技術によって被害を受けた人が、企業に対して損害賠償を請求できるような法整備」の必要性を訴えています。