セキュリティ対策企業は警察のスパイウェアを検出すべきか？

　米連邦裁判所が先頃下したある裁定がきっかけとなり、警察がコンピュータ上に忍ばせたスパイウェアをウイルス対策企業が意図的に無視してよいかどうかを巡って、議論が起きている。

　米連邦第9巡回控訴裁判所が7月初めに下した裁定の中で、連邦捜査機関がキーロガー（コンピュータのキー入力履歴を記録する）機能を持つスパイウェア（通称「フェドウェア」）を使い、違法ドラッグ「エクスタシー」製造の嫌疑がかかった容疑者のキー入力を記録していたことが判明した。この容疑者は、暗号化技術を利用して警察の捜査を逃れていた。

　CNET Newsが主要なウイルス対策ソフトメーカー13社を対象に行った調査によると、政府機関に非公式に協力したことがあると認めた企業は1社もなかった。しかし、中には、裁判所に沈黙を保つよう命じられれば、フェドウェアの存在を顧客に警告しないだろうと答えた企業もあった。

　調査では、小さな企業からSymantecやIBMのような大企業に至るまで、そのほとんどが、そうした裁判所命令を受けたことは今まで一度もないと回答した。調査対象となった企業は、「AVG」シリーズのGrisoft、CA、Check Point Software Technologies、eEye Digital Security、IBM、Kaspersky Lab、McAfee、Microsoft、Sana Security、Sophos、Symantec、Trend Micro、Websenseの13社だ。このうちMcAfeeとMicrosoftは、この質問への回答を拒否している（各企業の回答内容の詳細はこちらの記事（英文）で確認できる）。

　米国において警察がキーロガーを用いて容疑者を逮捕、起訴した事例はたった2件しかないことから、重要な法的規則はまだ確立されていない。しかし、キーロガー製品のメーカーは、警察などの捜査機関が得意先だと述べている。キーストロークを記録すれば、暗号化により通信やハードディスクを読み取り困難にするという、最近ますます一般的になった犯罪者側の妨害工作を回避できるためだ。Microsoftの「Windows Vista」やAppleの「Mac OS X」には、最初から暗号化技術が組み込まれている。

　調査に応じた企業の中には、顧客のプライバシー擁護に徹する姿勢を敢然と示すところもあった。「われわれの顧客が、当社が提供するサービスに対して金を払うのは、あらゆる種類の悪意あるコードから守ってもらうためだ」と、eEye Digital Securityの共同創設者で最高技術責任者（CTO）でもあるMarc Maiffret氏は言う。「法執行機関に成り代わってその務めを果たすことは、われわれに課せられた役目ではないので、現在も、そしてこれからも、捜査機関が利用するマルウェアなどのツールを例外扱いするするつもりはない」。eEye Digital Securityが25ドルで販売するセキュリティソフト「Blink Personal Edition with Anti-virus」には、ウイルス対策機能とスパイウェア対策機能が含まれている。

　一方、当局に対してより柔軟な姿勢を見せる企業もあった。人気のファイアウォールソフト「ZoneAlarm」を開発しているCheck Pointは、ホワイトリスト入りを求める合法的なサードパーティーベンダーに対するものと「同じ配慮を」連邦捜査機関に対しても行うだろうと語った。ただ、Check Pointの関係者は、これまでにそのような事態は「一度も起きていない」と話している。

　この問題は決して新しいものではない。連邦捜査員がキーロガーに頼ったことが裁判で判明し、注目を集めたケースは今のところ2001年が最後だが、その後も自発的にフェドウエアを検出しないように取りはからっているセキュリティ企業はあるといわれている。同じく2001年、Associated Pressは「McAfeeが連邦捜査局（FBI）と接触し、（中略）同社のソフトウェアが不用意にFBIの監視用ソフトウェアを検出することはないと約束した」と報じた。これに対しMcAfeeは、報道は不正確だと応じている。

　この件が報じられた後、FBIは「Magic Lantern」と呼ばれるスパイウェアを制作していることを認めた。これは、コンピュータに物理的に接触せずに、ウイルスを利用して捜査員が離れたところからキーロガーをコンピュータに仕込むためのツールだ（前述のエクスタシーに関する最近の裁判でも、ギャングが関わったと言われている、それ以前のキーロガーに関する裁判でも、連邦捜査員は、キーロガーをインストールするために建物に侵入することを許可する裁判所の命令を獲得している）。