おもちゃがサイバー攻撃の「武器」に、11歳少年の実演に仰天

【5月17日 AFP】 11歳の少年が16日、ネット接続できるテディベアのおもちゃを操作するためにブルートゥース機器へのハッキングを実演し、セキュリティー専門家らの聴衆を仰天させた。狙いは、相互接続されたスマート玩具をどのように「武器化できる」かを示すことだ。

　米国の「神童」ルーベン・ポール（Reuben Paul）君は、米テキサス（Texas）州オースティン（Austin）の学校に通う小学6年生。彼と彼のテディベアのボブは、オランダで開かれたサイバーセキュリティー会議で数百人の聴衆を驚嘆させた。

　ルーベン君は、ハーグ（Hague）で開催された世界フォーラムの広い壇上に立ち、「飛行機から自動車、スマートフォンからスマートホームまで、どんなものでも、あるいはどんな玩具でも、『モノのインターネット（Internet of Things、IoT）』の一部となる」と語った。そして「ターミネーターからテディベアまで、どんなものでも、どんなおもちゃも武器化される恐れがある」とも付け加えた。

　ルーベン君は今回の実演のために、自らのテディベアを壇上に配置。このおもちゃは、WiFiとブルートゥースを通してクラウドサービス「iCloud（アイクラウド）」に接続し、メッセージを送受信できる。

　ルーベン君は、利用可能なブルートゥース機器を探すために、クレジットカード大の小型コンピューター「ラズベリー・パイ（Raspberry Pi）」を使い、会場内をスキャンした。すると彼自身も含めて誰もが驚いたことに、一部高官のものを含む数十の番号がすぐに見つかった。

　次にルーベン君は、Python（パイソン）と呼ばれるプログラミング言語を使い、見つかった番号の一つを経由して、壇上のテディベアを操作した。ここで、ぬいぐるみに付いているライトを点灯させたり、聴衆からのメッセージを録音したりした。

　ルーベン君は、講演後に行われたAFPの取材に「インターネットに接続されるものの大半には、ブルートゥース機能が備わっている。今回の実演では、音声を録音したりライトをつけたりすることによって、どのようにしてブルートゥース機器に接続し、それにコマンドを送信できるかを示した」と語った。

「IoT家電など日常生活で使用できるもの、自家用車、照明、冷蔵庫など接続機能を持つこの種のあらゆるものは、人々に対してスパイをしたり害を及ぼしたりするために悪用され、武器化される可能性がある」

　パスワードなどの個人情報を盗み取るためや子どもの行動を密かに探るためのリモート監視機器として、あるいは個人がどこにいるかを調べるために全地球測位システム（GPS）を用いるためなどに、これらのIoT機器が悪用される可能性がある。

　ルーベン君は、さらに恐ろしいことに、おもちゃが「この場所で僕と会おうよ。君を車で迎えに行くよ」としゃべりだすかもしれないと冗談交じりに話した。

■「時限爆弾」

　ルーベン君の父親で、IT専門家のマノ・ポール（Mano Paul）氏は、自分が仕事の電話で話した間違いを6歳の頃のルーベン君に訂正されたことがあると述べ、彼がいかに早くからITの技能を示していたかについて説明した。

　ポール氏は、AFPの取材に「彼はいつも、私たちを驚かせてきた。彼に何かを教えるといつも、結局は私たちが彼から教わることになる」と語った。

　だがポール氏は、ルーベン君がおもちゃの自動車を最初にハッキングし、それからさらに複雑なものに移行したのを目の当たりにして、子ども向け玩具で見つかったこれらの脆弱性に「衝撃を受けた」という。「これは、私の子どもたちが、いずれ悪人や悪意を持った誰かに悪用される恐れのある時限爆弾で遊んでいることを意味する」

　家族は現在、非営利組織「サイバー少林（CyberShaolin）」の設立でルーベン君を支援している。ルーベン君の習っている少林拳にちなんだ名前だ。

　同組織の目的は「サイバーセキュリティーの危険性について子どもと大人に周知すること」。製品メーカー、セキュリティー研究者、政府が協力し合う必要があるというメッセージを強く訴えたいとしている。

　将来は、米カリフォルニア工科大学（Caltech）か米マサチューセッツ工科大学（MIT）のどちらかでサイバーセキュリティーについて学び、自身のスキルを良いことのために利用したいとの目標を掲げるルーベン君。

　しかし、それがかなわない場合は、得意とするもう一つのスポーツの体操でオリンピック選手になるかもしれないと話した。(c)AFP/AFPBB News