ハッキングチーム、不透明な政府へのスパイウェア販売を否定

監視テクノロジー会社Hacking Teamは、自社のスパイウェアを販売したことを否定した。21か国先週発表された忌まわしい報告書を受けて、市民的自由を抑圧するものも含まれる。

トロント大学のサイバー探偵」シチズンラボスーダン、アゼルバイジャン、サウジアラビアなど人権問題の悪い国も含め、21か国でハッキングチームのソフトウェアの痕跡を発見したと報告した。

関連項目:

Hacking Team は、と呼ばれる強力な監視ソフトウェアを開発するイタリアの会社です。遠隔制御システムこの「ハッキングスイート」は、ターゲットのコンピュータに密かにインストールされると、電子メールや Skype 通信を傍受したり、感染したコンピュータ上のデータにオペレータがアクセスしたりできるようになります。

RCS は、政府および法執行機関での使用を目的として特別に、そして独占的に販売されています。しかし、Hacking Team の顧客が誰であるかは不明です。主張しましたそれは「いかなる抑圧的な政権」にも売れない。

同社の広報担当者エリック・ラーブ氏は、ハッキング・チームが顧客を特定しないのは「効果的な法執行や諜報調査に必要な機密保持が危険にさらされる」ためであり、報告された国のリストは不正確だと付け加えた。

「シチズン・ラボは古い技術に基づいた研究を行っているようで、彼らが作成したリストはハッキング・チームのクライアントが所在する国の正確なリストではない」と同氏はメールでMashableに語った。

Citizen Lab は、スパイウェアのプロキシサーバーネットワークをマッピングすることで RCS の痕跡を発見し、RCS は「追跡できない」という Hacking Team の主張に異議を唱えました。プロキシサーバーについて尋ねられたとき、ラーブ氏は、クライアントの身元を保護するために使用する「さまざまな」技術が「効果的」であると説明したが、それが何であるかについては明らかにしなかった。

ハッキング・チームの声明を受けて、シチズン・ラボの4人の研究者、ビル・マークザック氏、モーガン・マーキス・ボワール氏、クラウディオ・グアルニエリ氏、ジョン・スコット・レイルトン氏は声明で、同社の否定について「驚いていない」と述べた。

研究者らはMashableに「ハッキングチームに対し、われわれの報告書に関して彼らが行った主張を裏付ける証拠を提供するよう要請する」と語った。しかし、ラーベ氏はこれ以上具体的には言及しなかった。

ハッキングチームの悪用に対する安全策

ラーブ氏は、人権侵害の記録がある国に販売しているという非難を弁護するために、ハッキングチームが自社のスパイウェアが悪者の手に渡らないようにどのようにしているかを説明した。

「私たちは、自社のデューデリジェンス、公表されたレポート、国際的なブラックリスト、潜在的な顧客との会話に頼って、可能な限り当社のソフトウェアが合法的かつ責任を持って使用されることを保証しています」とラーブ氏は述べた。

しかし、ハッキング・チームやその他の監視技術を販売する企業を何年も調査してきた専門家らは依然として懐疑的だ。

「これらの国が自分たちの顧客であったかどうかを確認も否定もできないのであれば、自国の技術が人権侵害の一環として使用されるのを防ぐための誰もが信頼できる監視プロセスを実際には持っていないということになる」と述べた。エヴァ・ガルペリン氏、デジタル権利擁護団体の活動家電子フロンティア財団。

Hacking Teamは常に、自社のソフトウェアは合法的な犯罪捜査のみを目的としていると主張しているが、Citizen Labは、そうではないように見える事例がいくつか見つかったと述べた。

昨年、RCS は以下に対して使用されたと報告されています。市民ジャーナリストのグループモロッコ政府に対しても批判的であると同時に、民主化活動家アラブ首長国連邦で。最近では、アメリカとヨーロッパのジャーナリストおそらくエチオピア政府によって標的にされていると伝えられている。

これらの報道により、国境なき記者団は名前ハッキングチームは、昨年の「インターネットの企業敵」5 社のうちの 1 つです。

悪用を防ぐために、Hacking Team は次のように主張しています。顧客ポリシー売却の可能性を検討する「技術専門家と法律顧問からなる外部委員会」を設置すること。

パネルメンバーの身元、パネルの仕組み、売却の可能性を阻止したかどうかについて開示を求められたが、ラーブ氏は詳細を明らかにしなかった。

「審査委員会のメンバーを特定することはできず、その活動を具体的に詳細に説明することもできない」と同氏は述べた。「しかし、販売前の交渉では、当社の製品が法律に違反する可能性のある活動で不適切に使用されるリスク、または単純に当社のソフトウェアが漏洩する可能性のあるずさんな導入によって不適切に使用されるリスクを示す危険信号を探します。販売後、当社製品の乱用や誤用が発見された場合、サポートを一時停止することができ、その場合、ソフトウェアは検出される可能性があり、その結果ソフトウェアが役に立たなくなります。」

ラーブ氏は、Hacking Teamがこれまでにクライアントを一時停止したことがあるかどうかについて詳しくは述べず、同社は「サポートを一時停止し、ソフトウェアを悪用した、または悪用する可能性があると思われる顧客や潜在的な顧客とのそもそもの取引を拒否した」とだけ述べた。

「これらは社内のビジネス上の決定である」と同氏は付け加えた。「しかし、このようなことは実際に起こります。通常、社内または社外の情報源から私たちの注意を引いた情報によって、私たちのソフトウェアが適切に使用されていないと信じ込まされた結果です。」

ラーベ氏は、RCS のようなツールの重要な役割も強調しました。「さまざまな詐欺師から麻薬密輸業者、児童虐待者まで、あらゆる種類の犯罪者がインターネット、コンピューター、モバイル技術を簡単かつ容易に使用していることを考えると、Hacking Team が提供するようなツールの必要性を認識していただけると思います。」

しかし、ガルペリンにとって、ハッキングチームの説明は十分ではありません。

「ハッキングチームは、世界中の人々に信頼を求めると同時に、それを可能にする情報を提供することもできない」と彼女は述べた。

ハッキングチームの「ハッキングスイート」リモートコントロールシステムダヴィンチのコマーシャル。

その他の監視テクノロジー企業

最新の Citizen Lab レポートの中で、研究者らは FinFisher や Vupen のような企業について言及しており、理論的には、Hacking Team ソフトウェアを購入した政府がターゲットのコンピューターに秘密裏に埋め込むためにこれらの企業を利用する可能性があると述べています。その 1 つは、攻撃者が標的のコンピュータにマルウェアを密かにインストールできるようにするコンピュータエクスプロイト (武器化されたソフトウェアのバグ) とゼロデイ (未知の脆弱性) を販売するフランスの会社 Vupen です。

Vupen は世界中の政府に製品を販売しています。何十万ものドルの。しかし、ハッキングチームとの関係は否定した。

「我々はエンドユーザーの政府機関とのみ協力しているため、Hacking Teamとはいかなる関係もありません」とVupenの最高経営責任者（CEO）Chaouki Bekrar氏はMashableに語った。

Hacking TeamとVupenとの関係について尋ねられたとき、Rabe氏はBekrar氏に同調した。

同氏は、「ハッキングチームとヴペンとは特別なビジネス関係はない」と述べ、ハッキングチームのRCSスパイウェアを標的に展開する責任を負うのは「捜査機関」であると付け加えた。「これらの機関は、Vupen や他の場所からのエクスプロイトの使用を含む、展開できる多くの技術を持っており、対象者のデバイスに物理的にアクセスできる可能性があります。」

両社が関連する理由を理解するには、両社のテクノロジーがどのように機能するかを説明することが重要です。政府はさまざまな方法で Hacking Team のマルウェアをインストールできますが、その 1 つはエクスプロイトによるものです。そのシナリオでは、政府が Vupen エクスプロイトを購入し、ハッキングチームのスパイウェアをターゲットに対して展開できるようにする可能性があります。

両社は相互の特別な関係を否定しているにもかかわらず、擁護団体の研究責任者であるエリック・キング氏を含む一部の企業は、プライバシーインターナショナル、彼らの主張には懐疑的です。

キング氏は、組織の一員として、Hacking Team、FinFisher、Vupen などの企業を長年調査してきました。株式会社ビッグブラザープロジェクトでは、3年前に2つの監視見本市に参加したことを覚えていると語った。同氏はカンファレンス中に、Hacking Teamの営業担当者がVupenをHacking Teamの製品とうまく連携するエクスプロイトを販売する会社として言及したとMashableに語った。しかしキング氏は、両社間に正式な合意があると示唆しているわけではないと強調した。

アメリカ自由人権協会の技術者で著名な監視専門家のクリス・ソゴイアン氏も、企業の否定には納得していない。

「一方を使用せずに他方を使用しない場合、銃と弾丸が異なる会社から販売されていることは本当に問題でしょうか?」彼ツイートした。

透明性を高めるため、Hacking Team とその広報担当者 Eric Rabe との電子メールのやりとりの全文を以下に埋め込みます。質問と回答は編集されておらず、わかりやすくするために単に並べ替えられています。

Mashable のハッキングチームの Eric Rabe へのインタビュー