疑い)で神奈川県警に逮捕されたことが報道され、大きな話題になっています。14歳の中学生という未成年者であったことです。「未成年の中学生」が「ランサムウェアを作った」という点が大きく注目を浴びているものと言えます。◆未成年者でも作れる「ランサムウェア」の完成度トレンドマイクロでも、この中学生が作成したとみられるランサムウェア検体を入手、解析の上で検出にも対応しています。このランサムウェアの特徴としては、本体のバッチファイルから、オープンソースの既存ツールを実行することで、ファイルの暗号化などランサムウェアとしての活動を実現していることがあります。図1:ランサムウェア本体であるバッチファイルの内容オープンソースツール「aescrypt.exe」を用いてファイルの暗号化を行う部分のコード図2:ランサムウェア本体であるバッチファイルの内容オープンソースツール「openssl.exe」を用いて暗号化に利用した鍵の暗号化を行う部分のコード本体のバッチファイルは以下の挙動を実現しており、ランサムウェアとしての要件を満たしているものと言えます。図3:ランサムウェアが表示する身代金要求メッセージ例このランサムウェアがインターネット上で配布されていたままの状態では暗号化の対象がカレントフォルダ直下に用意した特定フォルダのみとなっており、ここを変更しなければ実際のランサムウェアとして有効なファイル暗号化の活動は行えません。本体はバッチファイルなので変更は容易です。12桁のランダムな文字列を作成するコードは、海外のプログラマ向け情報サイト上のサンプルコードと同一であり、インターネット上の情報を参考にしながらこのランサムウェアを作成していった作成者の姿が浮かびます。図4:ランサムウェア本体であるバッチファイルの内容12桁のランダムな文字列を作成する部分のコードまた今回のランサムウェアは、ファイルの復号に必要な鍵の暗号化を行う際に、RSA暗号などの公開鍵暗号を用いておらず、さらに、バッチファイル内にハードコードされている鍵を使っています。このため、実際にランサムウェアとして悪用された場合にも復号ツールの対応は容易だったものと言えます。今回の事例では、未成年者がランサムウェアを作成していたことが大きな注目点となっていますが、不正プログラム関連での未成年者の逮捕事例は以前から発生しています。17歳の少年が、日本語表示を行うランサムウェアを作成していたと報道されました。今ではランサムウェアの日本語対応は当たり前になりましたが、2015年当時は日本初のランサムウェアを未成年者が作成していたと騒がれました。この事例の少年はランサムウェア作成に、海外のアンダーグラウンドサイト(アングラサイト)から入手したランサムウェア作成ツールを使用していました。8月にこのランサムウェア作成ツールの保持の容疑でも書類送検されています。2015年の事例との大きな相違となっています。容疑で書類送検される事件が発生しています。その他のサイバー犯罪でも、未成年者が関与する事例は以前から発生しています。14~19歳の未成年者となっています。:「平成27年における不正アクセス行為の発生状況等の公表について」(警察庁)から抜粋このような状況は何を意味しているのでしょうか。1つは、未成年であってもネット上を探索することでサイバー犯罪につながる情報が容易に入手可能なことがあります。匿名ネットワークへアクセスするための方法もインターネット上にあり、未成年であっても丹念に情報を見つけることさえできれば、匿名ネットワーク内のアングラサイトへアクセスし、不正な情報を入手できます。今回逮捕された中学生も、ランサムウェアの活動を理解した上で、インターネット上からランサムウェアの活動を実現するのに必要な情報を収集し、完成させています。未成年者の場合、自己顕示欲や承認欲求を発端とすることが多く、逮捕に至る証拠を残しやすいこともあります。ソーシャルメディア上にランサムウェアを作成した「自慢」を書き込むなどの証拠を残しています。報道によれば逮捕後には「力試しに作った」などと語っており、作成されたランサムウェアを見ても他のランサムウェアにみられるような足がつきにくくするための細工も特に見られない稚拙なものであることからも、自らを誇示したいがためだけに作成、公開したものと考えられます。これは、別の見方をすれば、そもそも自分が行った行為がサイバー犯罪にあたるという意識が希薄なため、罪悪感もない、あるいは、不正プログラムを作成するという行為自体が犯罪であるということを、未成年が故に理解していない、ということが考えられます。IT環境が当たり前になっています。IT機器やインターネットに触れることも当たり前となりました。その裏では、サイバー空間においてやってはいけないことを判断するための「善悪」、言い換えれば「ITモラル」について教えられないままに、利便性だけを享受している現実があるものと言えます。サイバー空間では実際の相手が見えないことからも、自分が行った行為の影響が実感できないこともあるかもしれません。IT関連の技術や知識を教えるだけでなく、「ITモラル」についても並行して教えていく取り組みが必要です。若年層のセキュリティ人材発掘・育成を目的に官民が連携して実施している「セキュリティ・キャンプ」では、セキュリティに関連した技術を教えると同時に、モラルや意識についても教える場を設けています。このような「ITモラル教育」という取り組みが、義務教育を含め、より広く国レベルで一般的に行われることが強く望まれます。ITモラルを教えられる人材の確保も不可欠となっていくでしょう。