STORY SO FAR
前回「なぜ標的はナタンズだと分かったのか――コードと設備構成の照合」で確認した論点を受け、この回ではStuxnetを誰が作ったのか――帰属で「分かっていること」と「分からないこと」について資料と証拠から何が確認できるのか。を扱う。
Stuxnetについて、もっとも有名で、同時にもっとも扱いが難しい問いがある。
誰が作ったのか。
現在、米国とイスラエルの共同作戦だったという説明は広く定着している。2012年にはWashington PostやNew York Timesが、現・元政府関係者などへの取材をもとに、Stuxnetを「Olympic Games」と呼ばれる秘密作戦の一部として報じた。ProPublicaも当時、その報道内容を整理している。
しかし、技術解析で確認できることと、匿名情報源を含む報道で確認できること、国家が公式に認めたことは同じではない。
帰属を正確に扱うには、Evidenceの種類を分ける必要がある。
本記事の結論は次のとおりである。
米国・イスラエル関与説は、主要報道と技術的状況証拠によって非常に強く支持されている。一方、Stuxnetについて両国政府が公開の公式文書で完全な作戦責任を認定した、という意味での「公的確定」とは区別すべきである。
まず、コードそのものから誰が分かるのか
マルウェア解析から分かるのは、開発者の能力と目的である。
Stuxnetには、複数のWindowsゼロデイ、盗用されたデジタル証明書、複数の拡散手段、Siemens STEP 7への深い理解、S7 PLCのコード注入、特定PLC・通信構成・VFDのfingerprint、物理プロセスへ対応した攻撃ロジックが含まれていた。
さらに古い0.5系統では、S7-417系PLC、UF6供給バルブ、遠心分離機cascadeの識別、正常値のreplayまで確認されている。
これらから、開発者が高いソフトウェア能力だけでなく、標的設備についてかなり詳しい技術情報を持ち、長期間の試験・改変を行える資源を持っていたことは強く示唆される。
しかしコードを逆解析しても、そこに「United States Government」や「Israel」といった署名があるわけではない。
高度な能力は、国家級の主体を疑う理由にはなる。だが「高度だからこの国」という推論だけで帰属を確定することはできない。
技術Evidenceが示すのは標的と能力であって、実施主体ではない
CASE061-06で確認したように、Stuxnetの標的 fingerprintはNatanzのウラン濃縮設備と強く整合する。
感染分布はイランへ偏り、後期1.x系統は特殊な高周波VFDを含むS7-315系構成を探した。0.5系統はS7-417系とUF6供給系のバルブ、遠心分離機cascadeを識別した。IAEA資料にはNatanzの164台cascadeや18 cascades単位の構成が記録されていた。
ここから「Natanzを狙った高度なサイバー物理攻撃」というところまでは、技術Evidenceでかなり強く支えられる。
しかし、Natanzを攻撃したい主体は理論上複数あり得る。
イラン核開発を阻止・遅延させたい動機だけでは、一意に国家を特定できない。
帰属には、コード以外の情報が必要になる。
2012年のWashington Post報道
2012年6月1日、Washington Postは、Stuxnetが米国とイスラエルの専門家によって開発されたとする詳細な記事を掲載した。[1]
記事は現・元米政府関係者などを情報源として、作戦が「Olympic Games」と呼ばれ、米国家安全保障局、CIA、イスラエル側が関与したと報じた。また、Natanzのインターネット非接続設備へマルウェアを持ち込むため、物理的なアクセスや人間を介した経路が重要だったという説明も含まれている。
これはStuxnet帰属を考えるうえで重要な報道である。
単なる外部専門家の推測ではなく、作戦を知る立場とされる複数の政府関係者の証言を含むからだ。
一方で、読者はEvidenceの形式を確認する必要がある。
記事に登場する多くの作戦情報は、公開された政府命令書や機密解除済み作戦計画そのものではなく、取材で得られた証言である。国家安全保障分野では匿名情報源が必要になることは多いが、技術報告書の直接証拠とは種類が異なる。
New York Times系報道とProPublicaの整理
同じ2012年6月、New York Timesも、Bush政権からObama政権へ続いた「Olympic Games」とStuxnetを結びつける大規模な報道を行った。
ProPublicaは同日、その報道の要点を整理し、米国・イスラエル共同プロジェクト、Natanzへの導入、秘密試験、2010年の意図しない拡散などを紹介した。
ProPublicaの記事自体も、元となるTimes報道が「unnamed U.S. and Israeli officials」を含む取材に基づくことを明記している。
したがって、2012年の報道群から言えるのは、主要メディアが複数の政府関係者から一貫した作戦像を得ていた、ということだ。
これは帰属を非常に強く支持する。
しかし「政府が公式記者会見で作戦責任を認めた」という形ではない。
「政府高官が話した」ことと「国家が公式認定した」ことの違い
この区別は細かく見えるが、REAL CASE FILEでは重要である。
政府関係者が匿名条件で記者へ情報を提供し、複数媒体が一致した内容を報じる。これは信頼できる調査報道になり得る。
一方、国家の公式認定とは、政府機関が公開文書、公式声明、議会証言などで作戦主体を明示することを指す。
Stuxnetの米国・イスラエル帰属は前者が非常に強い。
後者については、少なくとも公開範囲では慎重な表現が必要である。
このため本文では、
「米国とイスラエルの共同作戦だったと主要報道が報じている」
「現・元米政府関係者の証言としてOlympic Gamesとの関係が報じられた」
と書く。
「米国政府が公式にStuxnet攻撃を認めた」と同義にはしない。
その後の発言や文書はどう扱うべきか
Stuxnet後、各国政府はサイバー作戦能力やサイバー軍事ドクトリンについて以前より多くを公にするようになった。
また米国では、Stuxnet関連情報の漏洩をめぐる捜査が報じられた。ProPublicaは2012年7月、StuxnetをめぐるNew York Times報道について、司法省が機密情報漏洩の捜査対象としていると報じている。
この事実は、報道内容が国家安全保障上の機密情報として扱われていたことを示す材料にはなる。
ただし、漏洩捜査があったからといって、記事の全細部が政府によって公式認定されたことにはならない。
「情報漏洩を捜査した」ことと「報道内容を全面的に認めた」ことは別である。
帰属評価では、この種の間接証拠も過大評価しない。
イスラエル関与はどこまで言えるのか
Washington PostやNew York Timesの2012年報道は、米国単独ではなくイスラエルとの共同作戦としてStuxnetを描いた。
報道では、イスラエルの技術能力、イラン核計画への情報、実機に近い試験環境などが共同開発へ関係したとされる。
イスラエルがイラン核施設への軍事・諜報上の強い関心を持っていたことは広く知られているが、それだけではStuxnet関与の証明にならない。
本CASEで帰属根拠として使うのは、動機論ではなく、複数の主要報道が政府関係者情報として米国・イスラエル共同作戦を具体的に記述したことである。
逆に、「イスラエルならやりそうだから」という地政学的推測はEvidenceとして採用しない。
「国家級の複雑さ」はどの程度の根拠になるか
Stuxnetの複雑さから国家関与を推定する議論は、2010年から広く行われた。
複数ゼロデイ、盗用証明書、WindowsとPLC双方の専門知識、Natanzに適合する設備情報、長期開発、実機試験の必要性。個人や小規模犯罪集団が偶然作ったと考えるより、潤沢な資源を持つ組織の関与を考える方が合理的である。
しかし「国家級」は主体名ではない。
国家機関、国家の委託先、防衛企業、複数組織の共同チームなど、実装主体の形態も複数考えられる。
コードの品質や予算規模から「米国」へ直接ジャンプするのは、帰属分析としては弱い。
だからStuxnet帰属では、技術的複雑性は補助Evidenceとし、2012年の複数報道を主要な帰属Evidenceとして扱う。
コード中の文字列や暗号学的手掛かりは決定打か
有名なマルウェアでは、コード内の文字列、時刻、言語設定、ファイル名などから作者を推測する分析が行われる。
Stuxnetでも、さまざまな象徴的文字列や聖書・歴史との関連を読む説が登場した。
しかし、この種の手掛かりは帰属の中心に置かない方がよい。
攻撃者は意図的に偽旗、false flagを入れられる。コンパイル環境や文字列は別国の開発者を装うために操作できる。
設備fingerprintやPLC挙動のような機能的Evidenceに比べ、象徴的な文字列は解釈の幅が広い。
本CASEでは、作者の国籍を暗号や聖書コードから特定するような説を、確認事実として扱わない。
なぜ「誰が作ったか」を断言したくなるのか
Stuxnetは物語として強い。
秘密の核施設、USB、ゼロデイ、PLC、遠心分離機、国家諜報機関。これらが一つにつながるため、「米国とイスラエルのサイバー兵器」と一文で結論を出したくなる。
しかし、その一文には複数種類のEvidenceが圧縮されている。
- StuxnetがNatanz向けだった――技術解析＋公的設備資料で非常に強い。
- 国家級資源が必要だった――技術的に強く示唆される。
- 米国とイスラエルが共同開発した――2012年の主要報道が強く支持する。
- Olympic Gamesという作戦名だった――同じく政府関係者取材を核とする報道。
- 両国政府が公式に作戦責任を全面承認した――別の基準が必要。
これらを一段のFACTへまとめると、証拠の境界が消える。
REAL CASE FILEでは、この境界を残す。
帰属の信頼度をどう表現するか
本CASEでは、次のように層別するのが妥当である。
FACT / TECHNICAL FACT
StuxnetがSiemens STEP 7とS7 PLCを標的とし、特定構成をfingerprintし、PLCを再プログラムして物理プロセスへ干渉する機能を持っていたこと。
STRONGLY SUPPORTED TARGET ASSESSMENT
対象構成がNatanzのウラン濃縮設備と非常に強く整合すること。
STRONGLY REPORTED ATTRIBUTION
米国・イスラエル共同作戦、Olympic Gamesとして開発されたと、2012年に複数の主要媒体が政府関係者情報をもとに報じたこと。
NOT TREATED AS PUBLIC OFFICIAL CONFESSION
米国・イスラエル両政府が公開の公式文書でStuxnet作戦の全責任を自ら明示した、という意味での完全な公式認定。
この表現なら、「何も分かっていない」と過度に曖昧にすることも、「政府が公式に認めた」とEvidence以上に断言することも避けられる。
サイバー帰属は「指紋一つ」で決めない
一般の犯罪捜査では、DNAや指紋のように強い個体識別証拠がある。サイバー攻撃の帰属は、それほど単純ではない。
IPアドレスは踏み台にできる。言語設定は変更できる。コンパイル時刻は偽装できる。コードの書き方は他者から借用でき、盗まれた証明書も使える。標的の政治的意味から動機を推定しても、複数主体が同じ動機を持ち得る。
そのため帰属では、技術、インフラ、運用、情報機関の知見、人的情報、政治的文脈などを組み合わせる。Stuxnetでは、公開研究者が利用できるのは主に技術解析と公開資料、そして政府関係者への調査報道である。国家が持つ機密情報の全体にはアクセスできない。
この制約を明示したうえで信頼度を評価する必要がある。
Stuxnetの場合、単なるコードスタイルより強いのは、Natanzに適合する詳細な設備情報と物理ペイロード、そして2012年の複数報道が同じ米国・イスラエル共同作戦像を提示したことである。技術と人的報道が独立に同じ方向を向いている。
逆に、「ある文字列がヘブライ語を暗示する」「特定の日付が歴史事件と一致する」といった材料は、補助的な話題にはなっても帰属の中心には置かない。攻撃者が意図的に残せるからだ。
代替説をどう評価するか
慎重な帰属分析では、主流説以外の可能性を完全に無視するのではなく、同じEvidenceで説明できるかを考える。
たとえば「民間の高度な攻撃者が独自に作った」という説なら、複数ゼロデイやPLC知識だけなら理論上説明できる。しかし、Natanz固有に近いプロセス情報、複数年にわたる版改良、実機試験が必要とみられる物理ペイロード、2012年に現・元政府関係者が共同作戦を具体的に証言したという情報まで説明する必要がある。[1]
「第三国が作り、米国・イスラエルへ偽装した」という説も論理上ゼロではない。しかし、それを支持する同等の質と量のEvidenceが公開されているわけではない。
したがって“可能性がゼロでない”ことと、“主流説と同じ確率”であることは違う。
合理的な評価では、米国・イスラエル共同関与説に高い信頼を置きつつ、その根拠が機密解除済み作戦命令ではなく主要報道＋技術状況証拠であることを明示する。この書き方なら、過度な断定と不必要な両論併記の両方を避けられる。
帰属の不確実性は技術的教訓を弱めない
誰が作ったかが100%公的に確定していなくても、Stuxnetから得られる技術的教訓は変わらない。
WindowsからEngineering Workstationへ侵入し、STEP 7通信へ介入し、PLCをfingerprintし、物理プロセスを操作し、監視値を偽装できる。これらは実コードの解析から確認できる。
防御側に必要なのは、作者の国籍が判明してから対策することではない。同じ技術構造を別の攻撃者が再利用できる前提で、変更管理、ネットワーク分離、媒体管理、ロジック完全性、独立監視を強化することだ。
むしろStuxnetが公開解析されたことで、攻撃概念そのものは世界へ広がった。以後の攻撃者はゼロから発想する必要がない。MITRE ATT&CK for ICSにStuxnetの技法が体系化されている現在、防御側は特定国家だけを脅威モデルにせず、同種のTechniqueを検出・抑止する必要がある。
帰属は歴史的責任を考えるうえで重要だが、設備防御では「誰が」より先に「何が可能になったか」を見るべきである。
成功した作戦だったのか
帰属と同じくらい評価が分かれるのが、Stuxnetが戦略的に成功したかという点である。
物理妨害が起き、遠心分離機の交換や運転混乱へ影響したと考えられている一方、イランの濃縮能力そのものを長期的に停止できたわけではない。
2012年の報道では、米政府関係者が18か月〜2年程度の遅延効果を主張したという説明がある一方、外部専門家はより限定的な効果を指摘した。[3]
この評価はStuxnetの「作者」を決める根拠にはならない。
また、攻撃の物理的成功と、コードが世界へ流出してサイバー兵器の設計思想を公開してしまった戦略的コストも分けて考える必要がある。
目的設備を一時的に妨害できても、自国を含む世界のICS防御へ新しい脅威モデルを拡散したなら、作戦評価は単純ではない。
Stuxnetの流出は意図的だったのか
2012年の主要報道では、StuxnetがNatanzの外へ広がり世界中で発見されたことは、意図した公開ではなく、コードの拡散が制御を外れた結果として説明された。
この説明は、Stuxnetの設計とも整合する部分がある。
Windows側の配送層は、目的のEngineering Workstationへ到達するため一定の自己拡散性を持っていた。その機能が標的環境の外へ運ばれれば、セキュリティ企業へ検体が届く。
しかし「誰のどの実装ミスで流出したか」といった細部は、技術解析だけでは確定できない。
ここでも、コードから分かることと、作戦内部の経緯として報道されたことを分ける。
帰属を曖昧にすることと、慎重に書くことは違う
Evidenceを分けると、「結局、誰がやったか分からないと言って逃げている」と見えるかもしれない。
しかし慎重な書き方は、すべてを同じ確率に戻すことではない。
米国・イスラエル関与説と、根拠のない第三国説を「どちらも可能性」と同列に置く必要はない。
2012年の複数主要報道、政府関係者証言、作戦名、Natanzという標的、技術的能力を総合すれば、米国・イスラエル共同関与は非常に強く支持される。
ただしEvidenceの形式上、「公式に全面認定済み」とは別だ、と書けばよい。
正確さは、結論を弱めるためではなく、結論の根拠が何かを残すためにある。
検証ポイント｜「イスラエルが単独で作った」とは言えない
公開報道の中心は、米国・イスラエル共同の取り組みである。
技術的にイスラエルの能力が高いことや、イラン核開発への関心が強いことだけから、イスラエル単独作戦と断定する根拠にはならない。
同様に、「NSAだけが作った」「CIAだけが作った」と単純化するのも避ける。
2012年報道では、NSA、CIA、イスラエル側など複数組織の関与が描かれている。
秘密作戦の組織構造を、公開されたマルウェアコードだけから再構成することはできない。
検証ポイント｜「Stuxnet＝Olympic Games」もEvidence層を示す
Olympic Gamesという作戦名は、Stuxnet史では広く定着している。
しかしこの名称の出所は、主に2012年の調査報道である。
したがって本文では、「報道によれば、作戦名はOlympic Gamesだった」とするのが正確である。
技術レポートのW32.Stuxnet DossierやMicrosoftの脆弱性情報が、この作戦名を技術的に証明しているわけではない。
帰属をこのように層別しておけば、将来新しい機密解除文書や公式証言が出た場合にも、記事全体を書き直す必要はない。現在のTECHNICAL FACTを維持したまま、ATTRIBUTION CLAIMのEvidence強度だけを更新できる。これは歴史記事の保守性という点でも重要である。
まとめ
Stuxnetの作者について、「何も分からない」とするのは現在のEvidenceを過小評価する。一方で、「米国政府とイスラエル政府が公式文書で全面的に認めた」と書けば、Evidenceの形式を越える。
技術解析は、StuxnetがNatanz向けの高度なサイバー物理攻撃であり、国家級の資源を思わせる複雑さを持つことを示した。
2012年のWashington Post、New York Times系報道、ProPublicaの整理は、現・元政府関係者などへの取材を通じて、米国とイスラエルの共同作戦「Olympic Games」としてStuxnetを位置づけた。
この二つのEvidence層は同じ方向を向いている。
したがって合理的な結論は、米国・イスラエル共同関与は非常に強く支持されているが、公的な全面認定と調査報道を区別して記述することである。
次の記事では、作者探しを離れ、Stuxnetが現在の産業制御セキュリティへ何を残したかを見る。air gap、Engineering Workstation、PLCロジック完全性、独立監視、バックアップ、defense-in-depth――事件の技術構造を、現在の防御設計へ変換する。
FACT CHECK｜出典・参考資料
- [1] The Washington Post, Stuxnet was work of U.S. and Israeli experts, officials say , June 1, 2012
- [2] ProPublica, Cheat Sheet: Behind The U.S. Cyberattacks on Iran , June 1, 2012
- [3] ProPublica, Classified Confusion: What Leaks Are Being Investigated, and What’s the Law on Leaks? , July 2, 2012
- [4] Nicolas Falliere, Liam O Murchu, Eric Chien, Symantec, W32.Stuxnet Dossier , Version 1.4, 2011
- [5] Symantec/Broadcom, Stuxnet 0.5: Disrupting Uranium Processing at Natanz
- [6] IAEA, GOV/2010/46
Stuxnet｜核施設を狙ったサイバー攻撃は何だったのか 第7回 全8回 全8回を見る
- 01 Stuxnetとは何だったのか――コンピューターから現実の設備へ
- 02 Stuxnet｜隔離された制御網へどう入ったのか――USBとゼロデイの侵入経路
- 03 Stuxnet｜なぜSiemensの制御システムだけを探したのか――STEP 7とPLCの識別
- 04 Stuxnet｜PLCを書き換えてもなぜ気づかれなかったのか――制御ロジック改変と偽装
- 05 Stuxnet｜遠心分離機はどう攻撃されたのか――周波数変換器と回転数操作
- 06 Stuxnet｜なぜ標的はナタンズだと分かったのか――コードと設備構成の照合
- 07 Stuxnetを誰が作ったのか――帰属で「分かっていること」と「分からないこと」
- 08 Stuxnetが変えたもの――産業制御セキュリティに残った教訓