「サイバー攻撃でバイプラインが停止した」というニュースにびったりしました。その中に「RaaS」という聞き慣れない単語がありました。
今回は、クラウドサービスでよく目にする「XaaS」という言葉について、みてみましょう。
1. バイプラインが止まる（ニュースの内容）
米連邦捜査局（FBI）は5月10日（現地時間）、米石油移送パイプライン大手のColonial Pipeline Companyが7日に発表した同社へのランサムウェア攻撃には、「Darkside」というハッカー集団が関わっていることを確認したと発表した。
米石油パイプライン大手へのサイバー攻撃、犯人はロシアを拠点とする集団「DarkSide」とFBIが発表 – ITmedia NEWS
米国最大の石油パイプライン「Colonial Pipeline」がサイバー攻撃で停止した。インフラを直撃し、ガソリン供給が停止するという大きな被害を与えた。実行したのは「DarkSide」という組織で、ランサムウェアをサービスとして提供する「RaaS」（Ransomware-as-a-Service）プラットフォームの一つだ。
【Infostand海外ITトピックス】米国最大の石油パイプライン停止 「RaaS」ビジネスが暗躍 – クラウド Watch
2. クラウドサービス（X as a Service：XaaS）
「IaaS」や「PaaS」、「SaaS」など、「aaS」という言葉をみることがあります。
これは、「〜 as a Service（サービスとしての〜）」の略です。
「RaaS」というのも、構造としてはこの仲間になるわけです。
2-1. パッケージ販売からサービス提供へ（ソフトウェアの場合）
例えば、もともとソフトウェアは、製品パッケージとして販売されることが多かったです。いわゆる「買い切りモデル」です。
しかし、ソフトウェアも、製品として販売するより、サービスとして契約する、「サブスクリプション モデル」が増えています。
例えば、ウイルス対策ソフト。ほかにも、Office 365やAdobe Creative Cloudなど、Word、ExcelやPhotoshopなども、サブスクリプションのライセンスが出てきました。
これは、メンテナンス・改良がソフトウェアの中心になったこと、一人で複数の端末を所有するようになったことがあります。
2-2. 必要な機能をレンタルする（インフラ設備の場合）
企業でも、必要な機能を外注する動きは増えています。
サーバやシステムをすべて自社開発・自社管理にするより、別の大企業から借りる方が、初期投資が少なくて利用できるのです。
小さな企業が新しいアイデアでアプリ・サービスを提供しようと思うと、たくさんの人と常に情報のやり取りするだけの設備・システムが必要になります。これをすべて自前で用意するのは大変なので、借りて利用することになります（IaaS、PaaS）。
例えば、「aws（Amazon Web Services）」は、Amazon.comが提供しているクラウドコンピューティングサービスです。かんたんにいえば、自分の会社のシステムを構築するために、Amazonのサーバやシステムを利用することができます。
クラウドサービス会社は、大規模な設備やシステムを準備して、活用してもらうことで、収益を得ています。
2-3. 販売システムの力を借りる（プラットフォーム）
例えば、メルカリでは、出品者はメルカリの販売システムを利用する代わりに、一定の販売手数料を支払います。
これが「PaaS」、販売システムの土台（プラットフォーム）をサービスとして提供してもらうことです。
3. ランサムウェアでも分業化
「RaaS」は、不正ソフト（Ransomware）の外注の仕組みということになります。
「ランサムウェア（Ransomware）」は、相手のデータを勝手に暗号化することで「身代金（ransom）」を要求する不正プログラムのことです。
メールなどのリンクから不正プログラムをインストールしてしまうと、被害にあってしまうことがあります。
「RaaS」の仕組みでは、不正ソフトを開発する人（開発者：Developers）と、拡散する人（提携者：Affiliates）が分かれています。
不正に得た身代金を分配する仕組みで、サイバー技術のない犯罪者でも、サイバー攻撃に参加し、分前を得ようとするのです。
逆にいうと、開発者は自らサイバー攻撃をしなくても、提携者の得た身代金の一部を「手数料」のように徴収することができます。
通常、サイバー攻撃には高度な技術が必要なため、攻撃者は限られていました。しかし、RaaSの仕組みが生まれていることで、これまで以上に攻撃者が増え、被害が広がってしまうことが考えられます。
個人でもセキュリティをしっかり考えていかないといけないですね。まずは、見知らぬアプリのインストールには注意しましょう。
4. 【追記】身代金のパスワード（2021年6月13日）
なお、この事件の身代金は、2021年6月7日、FBIが「差し押さえ」ることに成功したと発表しています。
FBIの取り返し方としては、送金先の暗号通貨ウォレットの秘密キーを得ることができたことです。
宣誓供述書によると、幸運なことにFBIはそのアドレスの秘密鍵（プライベート・キー：事実上のパスワード）を入手していたという。
……
FBIは、どのようにしてキーを入手したかについては明らかにしていないが、他のランサムウェア・ハッカーたちに警告を送ったと述べている。
https://www.businessinsider.jp/post-236421
暗号通貨は、分散管理されているため、国家の介入を受けない、とされていました。しかし、国家規模の技術や政治力の前では、実際には必ずしもそうではないんですね。
こちらもどうぞ。
