最近公開された『007／ノー・タイム・トゥ・ダイ』は、ダニエル・クレイグ時代の最後の作品となります。そこで今回は、ダニエル・クレイグが主演した5つのジェームズ・ボンド作品を、サイバーセキュリティの観点から見ていくことにしましょう。この5作品に共通しているのは、クレイグが演じていることを除くと、劇中に登場するMI6職員たちがサイバーセキュリティの基本をまったく理解していないことです。
これが意図的（ボンドや00セクションのコンセプト全体の時代遅れぶりを強調するため）なものなのか、脚本家に知識がなくてサイバーコンサルタントもいないせいなのか、定かではありません。理由が何であれ、映画の中に見られる不合理のいくつかを、登場順に見ていきましょう。
※この先はネタバレを含みます
カジノ・ロワイヤル
クレイグが初めてジェームズ・ボンドを演じた作品です。本作には、「ボンドが直属の上司であるMの家に侵入、MのノートPCを使ってある種のスパイシステムに接続し、悪役の携帯電話に送られたテキストメッセージの送信元を突き止める」というシーンがあります。現実には、こうしたことができるのは、以下の条件がある場合に限られます。
- スクリーンロックとログアウトを自動的に行うというポリシーを、MI6が実施していない。また、MがノートPCの電源をオンにしたまま、かつログインしたままにしている。
- 強度の高いパスワードの使用を、MI6が徹底していない。さらに、Mのパスワードを簡単に推測可能である。
- Mは自分のパスワードを同僚たちに知られないようにする術を知らない。またはMのパスワードは誰かに知られている。
どれも問題となりかねませんが、一番可能性が高そうなのは3番目です。この少し後で、ボンドは再びMの認証情報を使って「安全なWebサイト」にリモートログインしています。
ボンド自身のパスワードに対する姿勢も、似たようなものです。ポーカーの賞金を保管する秘密口座のパスワード（最低6文字）を作成するとき、ボンドは同僚であり思いを寄せる相手でもあるヴェスパーの名前を使います。携帯電話のキーパッドの数字に対応するアルファベットを記憶しておいて、アルファベットを数字に置き換えていました。その結果できあがったのは、よく知られている単語に基づいた6桁のパスワードという、強度に難のあるものでした。
慰めの報酬
過去5作のボンド映画の中でデジタル要素が一番少ない本作にも、注目すべき瞬間があります。映画の冒頭で、MI6に8年間勤務し、Mの個人的なボディガードを5年間務めたクレイグ・ミッチェルが、実は二重スパイであることが判明します。
もちろん、これはサイバー関連の問題ではなく、昔ながらのセキュリティの問題です。しかし、前作で見られたMのパスワードに対する無頓着さは、膝の上で猫をなでる世界中の超悪玉たちの手にMI6の秘密が渡っている可能性を示唆しています。
スカイフォール
これと対極にあるのが、5作品のうち最もコンピューター化された世界でストーリーが展開する 『スカイフォール』です。本作では情報セキュリティがプロットの中心に据えられており、その傾向は冒頭から明白です。見るところが多いので、時系列で分析していきましょう。
イスタンブールでのデータ漏洩
何者かが「世界各地のテロ組織に潜入しているNATO工作員の身元情報」が入っているハードディスクを盗みます。MI6のパートナーでさえ、このリストの存在を知りません（そもそも公式には存在しません）。
このようなディスクがあること自体、すでに巨大な脆弱性です。そのデータベースがMI6にとって重要なものだと仮定しましょう（実際にそうです）。それなら、なぜこれがイスタンブールの隠れ家にあって、守っていたのはたった3人のエージェントだったのでしょうか？暗号化されていて、復号しようとするとMI6に警告が飛ぶようになっていたにしても…。
SISに対するサイバーテロ
最初の本格的なサイバーインシデントは、その少し後に起きます。英国の秘密情報部（SIS）の本部に対し、サイバーテロリストによる攻撃が発生するのです。攻撃者は盗んだディスクを解読しようとします−セキュリティシステムの通知によれば、MのPCからのようです。防御側は必死になってコンピューターをシャットダウンしようとしますが、攻撃者はテムズ川のほとりにあるSISの建物を爆破してしまいました。
その後の調査で、犯人は環境制御システムに侵入し、安全プロトコルを排除してガスを供給したことが明らかになります。しかし、その前に彼らはMのファイル（カレンダーも）をハッキングして解読用のコードを手に入れており、盗んだハードディスクの解読は時間の問題となっていたのでした。
Mのコンピューター上の盗難ディスクからの警告が、情報撹乱または場を荒らすことを試みたものだったと仮定しましょう（どのみち、例のハードディスクがビル内にあったはずはないのです）。それから、ビルのガス供給についての疑念も無視することにしましょう。もしかしたら、MI6の廊下の明かりは切り裂きジャック時代のガス灯だったかもしれません。英国は伝統を重んじる国ですからね。
何にせよ、環境制御システムのハッキングは完全に可能です。しかし、環境制御システムと「英国内で最も安全なコンピューターシステム」と言われるMのコンピューターが、なぜ同じネットワーク上にあるのでしょうか。明らかにセグメンテーションの問題です。言うまでもなく、ハードディスクの解読コードをMのコンピューターに保存したことも、純然たる過失の一つです。少なくとも、パスワードマネージャーくらいは使えたと思うのですが。
Mに対する嫌がらせ
犯人は、工作員たちの名前を定期的に公開してMの神経を逆なでします。情報を公開するとき、なぜかMのノートPCには犯人からのメッセージが流れます（何らかのバックドアが仕掛けられているとしか考えられません）。しかし、MI6の専門家たちは、ノートPCをチェックしようとはせず、メッセージの発信源を追跡することにしか気が回りません。
彼らは、このメッセージが、世界中の1,000台以上のサーバーを経由して信号の出所を分からなくする非対称なセキュリティアルゴリズムによって送信されたと結論付けました。このようなやり方は実在するかもしれませんが、この文脈で彼らが言う「非対称なセキュリティアルゴリズム」が何を意味するのかはよく分かりません。現実の世界では、非対称「暗号」アルゴリズムは暗号学の用語であり、メッセージの出所を隠すこととは無関係です。
MI6へのインサイダー攻撃
ボンドはハッカー（シルヴァという名の元MI6エージェント）を見つけ出して捕らえ、シルヴァのノートPCと共にMI6の新本部に連れて行きますが、シルヴァが演技していることに気付きませんでした。そこに現れたのがQです。名目上は準軍人、機能上はMI6のハッキング最高責任者ですが、実のところは道化役です。
ここでも、そうなっている理由ははっきりしません。そうした方が面白いからか、それとも、脚本家のサイバーセキュリティに対する無知が招いた結果の一つなのか…。Qが最初にしたことは、シルヴァのノートPCをMI6の内部ネットワークに接続し、意味不明なことをしゃべり始めることでした。その内容を解読してみましょう。
- 「特定のファイルにアクセスしようとするとメモリが消去されるフェイルセーフプロトコルが確立されている」。なるほど。しかし、Qがそれを知っているならば、なぜそのようなプロトコルがインストールされたコンピューターでシルヴァのデータの解析を続けるのでしょうか？メモリが消去されたらどうするのでしょう？
- 「これは彼のオメガサイトです。最高レベルに暗号化されている。本当の目的を隠すために難読化されたコードのようです。隠蔽によるセキュリティです」。このセリフは、筋の通らない適当な用語が並んでいるだけです。いくつかのコードは暗号化によって難読化（分析を妨げるために変更）されている—それはそうでしょう。しかし、そのコードを実行するには、そもそも何かによって復号しなければなりません。「隠蔽によるセキュリティ」は、コンピューターシステムを保護するための現実的な手法であり、堅牢なセキュリティメカニズムの代わりに、攻撃者がデータを解読できないようにすることでセキュリティを確保しようという考え方です（良策ではありません）。ここで「専門家」であるQが伝えようとしているのが何なのか、よく分かりません。
- 「彼はポリモーフィックエンジンを使って コードを変異させています。アクセスしようとするたびにコードが変わる」。これはさらにナンセンスです。コードがどこにあって、Qがどうやってアクセスしようとしているのか、推測するしかありません。ファイルのことを言っているのであれば、メモリが消去されてしまう危険性があります（1つ目のポイントを参照）。それに、なぜ2人がこのミステリアスなエンジンを止めて「コードの突然変異」を解消してから解析しようとしないのかも、よく分かりません。「ポリモーフィック」という言葉が出てきますが、これは狭義の「ウイルス」が新たに複製するときウイルスコードに変更を加える方法のことで、現在は使われていませんし、この状況にも当てはまりません。
シルヴァのコンピューター上で起こることは、16進コードのようなものが散りばめられた、めちゃくちゃに複雑なスパゲッティチャートのように視覚表現されています。鷹の目を持つボンドは、この中に見覚えのある名前を見つけます。ロンドンの地下鉄の廃駅の名前、「グランボロー」でした。彼はこの名前をキーワードとして使うことを提案します。
経験豊富な情報部員ならば、目に付くところ（インターフェイスの中）に置いてある重要情報はほぼ間違いなく罠だと気付くはずです。敵対者がそんな情報をわざわざ放置する理由は、それ以外にないのでは？しかし、何も知らないQはキーワードを入力します。その結果、ドアが開いて「システムセキュリティ違反」のメッセージが点滅し、Qはただ「あいつがどうやって我々のシステムに侵入したのか誰か教えてくれ」と言うことしかできませんでした。数秒後、彼はようやく、シルヴァのノートPCをネットワークから切り離した方がよいと判断します。
全体として、私たちが一番気になるのはQに関わるところです。 脚本家がわざとQを無能な素人として描いたのか、それとも、Qを天才的なコンピューターのプロとして視聴者に印象付けられることを期待して、サイバーセキュリティ用語を適当にちりばめたのか…。
スペクター
『スペクター』は、理論的には、テロ対策としての世界的な監視と諜報のプログラム「ナイン・アイズ」の合法性、倫理性、安全性についての問題提起を意図したものでした。しかし実際には、このようなシステムを構築することのマイナス面として描かれたのは、「ジョイント・セキュリティ・サービス」（MI5とMI6の合併後の組織）のトップが腐敗していた場合の話、つまり、ボンドの宿敵ブロフェルドと通じたインサイダーが英国政府の情報システムにアクセスできた話のみ。それ以外のデメリットについては、まったく触れられていません。
「インサイダー」といえば、Qとマネーペニーは、公式には停職中のボンドに機密情報を渡しています。それに、当局に対してボンドの居場所も偽っています。二人の行動は大義のためかもしれませんが、諜報活動の観点からすると、彼らは秘密情報を漏洩しており、少なくとも職業上の違法行為を犯していることになります。
ノー・タイム・トゥ・ダイ
クレイグ時代の最終作では、MI6が「ヘラクレス計画」と呼ばれる極秘兵器を秘密裏に開発します。これは、個人のDNA内にコーディングされる、ナノボットの群れからなる生物兵器です。ターゲットのいる部屋にナノボットを散布したり、ターゲットと接触する可能性のある人物の血液にナノボットを導入したりすることにより、ターゲットを排除することが可能です。この兵器を考案したのは、MI6の科学者であり二重スパイ（あるいは三重スパイ）でもある、ヴァルド・オブルチェフです。
オブルチェフは、秘密のファイルをコピーしたUSBメモリを飲み込みます。その後、今や秘密ではなくなった組織『スペクター』の工作員たち（前作で一掃されなかった一握りの人たち）が研究室に侵入、ナノボットのサンプルを盗み、この裏切り者の科学者を誘拐します。職員の身元調査にまつわる問題は以前に見たとおりですが、秘密兵器を開発する研究所に、特にロシアの姓を持つオブルチェフのコンピューターに、情報漏洩対策（Data Loss Prevention：DLP）システムが導入されてないのは一体どういうことでしょうか？（ロシア人＝悪役、というのは皆が知っているお約束のはずなのに…）
映画の中では、大量のDNAデータが何度も漏洩した結果、この兵器は誰に対しても有効になり得る、と簡単に触れられています。この部分に関しては、まったくあり得ない話ではありません（英語記事）。しかし、漏洩した情報にMI6のエージェントの情報も含まれていたことが判明し、話の信憑性が怪しくなります。漏洩したDNA情報をMI6職員のDNA情報と照合するには、MI6職員の名簿も公に入手可能となっていなければなりません。さすがにそれは無理があります。
さて、ブロフェルドは厳重警備された刑務所に何年も収容されていましたが、彼の義眼は、子分の一人が持つ義眼と24時間リンクしていました。ここは大目に見て、受刑者の生体移植を見逃すことはあり得ると仮定しましょう。しかし、眼球は定期的に充電が必要なはずで、警備の厳しい刑務所では、こっそり充電するのは難しかったはずです。看守は何をしていたのでしょう？さらに、『スペクター』のラストでブロフェルドは義眼なしで拘留されているので、逮捕後に誰かが義眼を渡したと思われます。また別のインサイダーがいたのでしょうか？
エピローグに代えて
こういった不条理さは、いい加減な脚本の結果であって、MI6におけるサイバーセキュリティの実践を反映しているわけではないと信じたいものです。少なくとも、実際のMI6が極秘兵器を漏洩させたり、自動ロックされていないデバイスに極秘のコードを平文で保存したりしないことを願います。最後に、脚本家の方々には、例えばサイバーセキュリティのトレーニングを受けるなどして、サイバーセキュリティに対する意識を高めることをお勧めしたいと思います。