メタバースの悪意：新たなフロンティアで既知のサイバー脅威と戦う

本記事の一部はInfosecurity Magazineに掲載されたものです。内容を更新し、転載しています。

‍

数年前、私たちはサイバーセキュリティが「無法地帯」であることについてよく議論していました。多くのサイバー攻撃が人命に直結する現実的なリスクを孕んでいることは言うまでもなく、より多くの人々がこの問題に関心を持つことが切実に求められていました。

2023年現在、特に多くの影響力を持つ国家の政府レベルで一定の進展が見られるのは喜ばしいことです。しかし私たちにとって、真に安全なコードとソフトウェアを実現するための道のりは終わりがありません。今、最も注目を集めるデジタル領域「メタバース」の出現は、コードレベルの脆弱性とソーシャルエンジニアリングの両面において、広大な新たな攻撃対象領域を生み出しています。

私たちは、虚構と欺瞞が渦巻くこの新たな戦場に立ち向かう準備が、まだ全くできていないのです。

高まる複合現実（MR）のリスク

メタバースは現在「旬の話題」として扱われていますが、その概念自体は古くから存在します。オンラインプラットフォームのSecond Lifeは2003年から運営されており、ユーザーのアバターが音声やテキストチャットで交流したり、ゲームを楽しんだり、Adidasのような企業が公式のバーチャルストアを展開したりするなど、熱心なコミュニティを支えてきました。純粋なゲーム分野では、『フォートナイト』や『World of Warcraft』といった大規模多人数同時参加型オンライン（MMO）ゲームが広大な世界を提供しており、マイクロトランザクション（仮想アイテムへの課金）への依存度も高まっています。『フォートナイト』だけでも、市場投入から最初の2年間で43億ドルのマイクロトランザクション収益を上げています。

メタバースという概念が定着するだけでなく、マーク・ザッカーバーグ氏主導でメインストリームへの進出が加速しようとしていることは明白です。これはインターネット、あるいは少なくともソーシャルメディアやEコマースの進化として非常にエキサイティングなものですが、サイバー攻撃や悪意あるエクスプロイトの機会という点では、計り知れないリスクを孕んでいます。

メタバースの攻撃対象領域は広範囲に及び、Webベースのソフトウェア、API、決済ゲートウェイをはるかに超えています。VRヘッドセットや周辺機器もコアデータに対する脅威となり得ます。これらのデバイスに搭載されたソフトウェアに脆弱性があれば、攻撃者にとって格好の侵入経路となってしまうのです。

ラトガース大学のセキュリティ研究チームは今年初め、VRヘッドセットの音声コマンド機能が深刻なプライバシー侵害（いわゆる「盗聴攻撃」）につながる可能性を検証した初の研究「Face-Mic」を発表しました。この研究は非常に興味深く、モーションセンサーを内蔵したVR/ARヘッドセットを利用して、発話に伴う顔の動きを記録することで、音声操作で入力されたクレジットカード情報やパスワードなどの機密情報が盗まれる可能性があることを示しています。根本的な原因は、ユーザー認証の欠如にあるようです。加速度センサーやジャイロスコープへのアクセスに権限が不要なため、複雑な顔の動きや骨伝導、空気振動を記録し、ユーザーのパターンに応じて銀行の暗証番号から極めて機密性の高い医療記録まで、あらゆる情報を推測される恐れがあります。

メタバースでは、あらゆる動作がデータポイントとなります。ソフトウェアのセキュリティが甘ければ、攻撃者がそれを悪用する動機は極めて強固なものとなります。

スマートコントラクトを狙う、より巧妙な攻撃者たち

メタ経済には、分散化、非物質化、柔軟性、そして何よりも妥協のないセキュリティが求められます。現在、Shiba Inuのような様々な暗号資産コミュニティにおいて、メタバースのマイクロ経済が拡大しています。仮想不動産やその他の無形資産を購入するために、ブロックチェーン上に保存されたスマートコントラクトが利用されています。

「ブロックチェーン」と聞けば、ITに少し詳しい一般の人なら、デジタル通貨の未来を担う安全で匿名性の高いシステムだと理解するでしょう。しかし、そこには小さな問題があります。オンライン上に「難攻不落の要塞」など存在せず、スマートコントラクトも例外ではないということです。本質的にスマートコントラクトは小さなプログラムであり、ハッキングの対象となり得ます。

スマートコントラクトは、整数オーバーフローやアンダーフロー、リプレイ攻撃、そしてブロックチェーン特有の脆弱性であるリエントランシー攻撃（再入可能攻撃）など、いくつかの一般的な脆弱性を突かれるリスクがあります。特にリエントランシー攻撃は、ユーザーの暗号資産残高を根こそぎ奪われる危険性があります。これらの攻撃はすべて、不適切なコーディングパターンによる脆弱性や、セキュリティ設計の根本的な欠陥によって可能となります。

この技術の利用は今後さらに拡大するでしょう。しかし現状では、安全で欠陥のないメタバースを構築するために必要な、セキュリティ意識の高い開発者を十分に確保することさえ困難です。組織は、特にデータや通貨が関わる場合、メタバースへの参画が持つ重大性を理解しなければなりません。そして、そうしたリスクが伴わないシナリオを想像することは困難です。

そこは規制のない環境であり、あなた自身が（今もなお）「商品」なのです

映画やテレビ、Second Life、ビデオゲームで見てきたように、メタバース環境では誰もが望む姿になることができます。仮想世界では想像力次第で可能性は無限に広がり、その柔軟性がユーザーを惹きつける大きな魅力となっています。しかしその反面、Metaが計画するような規模になると、セキュリティの観点から完全に隙のない状態を維持することは、あまりに広大かつ分散的すぎて不可能です。詐欺は必然的に発生し、熟練した犯罪者はソーシャルエンジニアリングの観点から、さらに多くの悪用手段を手に入れることになるでしょう。

機密性の高いユーザーデータは新たな「金」であり、メタバースは、予測通りの普及が進めば、これまでで最も豊かで完全なデータソースとなる可能性を秘めています。メタバース関連のソフトウェア構築は、現在の規制基準やコンプライアンス対策を遵守することが前提となりますが、急速に拡大するデジタル宇宙とその経済を支えるためには、それらの基準も更新が必要です。その核心となるのは、組織がメタバースへの貢献に対してセキュリティ責任を負うことです。ソフトウェア開発に携わるすべての人が、プロセスのあらゆる段階でセキュリティを考慮し実装する、そうした成熟した社内セキュリティ体制が不可欠です。

メタバースの成功にセキュアコーディングが不可欠な理由

現実世界でなりたい自分を体現するアバターを使い、無法地帯のデジタル空間を駆け回るのは楽しいかもしれません。しかし、すべての「キャラクター」の背後には生身の人間がいることを忘れてはなりません。現実の個人のデータや資産が危険にさらされる状況は、もはやゲームとは呼べないのです。

サイバーセキュリティの世界では、ミスが壊滅的な結果を招くことを私たちは熟知しています。メタバースが広く普及し、消費者の信頼を得るためには、その構成要素すべてにおいて整合性を確保することが不可欠であり、決して後回しにしてはなりません。

企業は今すぐ、自社のセキュリティ成熟度を現実的に評価し、開発現場のセキュリティスキル向上に注力することで対策を講じることができます。ラトガース大学の研究が示すように、アクセス制御の不備は大規模なデータ漏洩につながる重大な脆弱性の一つです。セキュリティ意識の高い開発者であれば、コードがコミットされる前の段階でこうした問題を適切に回避できるはずです。

メタバースで大規模なデータ侵害が発生した際、「サイバーセキュリティ人材の不足」を言い訳にすることは通用しません。私たちには、単なる最善の努力にとどまらず、ソフトウェアのセキュリティ基準を根本から引き上げるためのツールがすでに備わっています。今こそメタバースの設計者育成に投資し、製品やサービスの仮想的な再構築による恩恵を享受すべき時です。