ヒズボラの「ポケベル爆弾テロ」はなぜ起きた？サプライチェーンの「新たな脅威」とは
今回のポケベル爆弾は「サイバー攻撃」に当たる？
ポケベル爆弾やトランシーバー爆弾は、ヒズボラを標的とした軍事作戦であるという捉え方がある一方で、民生機器が使用されており、子供を含む無関係な犠牲者も出ているため、テロ行為と見なすべきだろう。 ちなみに、イスラエルが関与したとされるスタックスネット（イランの核開発施設を狙ったサイバー攻撃）では、マルウェアがUSBメモリを介してインストールされ、標的であるイランの遠心分離機以外では起動しないよう設計されていた。これは誤爆や民間への被害を避けるためだ。しかし、ポケベル爆弾の場合はそのような配慮がなく、明らかに一線を越えた行為といえる。 では、サイバーセキュリティ事案としては、どう見るべきだろうか。遠隔操作に通信技術が使われている。起爆などの通信に、ポケベルの通信網やトランシーバーの正規の通信方式が利用されたとしたら、通信インフラのハッキングであり、サイバーセキュリティの範疇とすることは可能だ。 しかし、ダミー会社の設立や製造手段の用意、国家による超法規的な諜報活動が関与しており、これまでのサイバーセキュリティで対応できる範疇を超えている。民生品の製造工程や商品流通への侵入・汚染という意味で広義のサプライチェーン攻撃ではあるが、爆弾は正規の製造ラインや流通チェーンの一部に侵入したわけではない。偽造品や模造品、あるいは商取引で入手した製品を入念に加工したものと考えられる。 そして、サイバー空間におけるサプライチェーン攻撃の目的は、市場に流通する製品やサービスにウイルスを仕込むといった、不特定多数を対象としたばらまき型が一般的である。今回のような特定の組織や人員などを狙ったターゲティング攻撃とはアプローチが異なる。
「無慈悲な攻撃」に成す術はあるのか
残念ながら、今回のような攻撃に対して、民間企業や通常の組織にできることは限られている。考えられる対策は、サプライチェーンの取引先の信用調査、実在性の評価をどこまで実施するのか、また調達品や備品購入に対して、対象のサンプル検査で分解・破壊検査まで行うか、というレベルの話になる。これらは、通常業務を戦時下の戦争当事国として行うようなものだ。 今回の事案は非常に特殊である。無理に一般化したり、サイバーセキュリティの枠組みで議論したりすることはできない。国際人道法では、病院や医療の偽装、玩具・食料・宗教にかかわるもの・歴史的建造物・美術品を利用したブービートラップは禁止されている。 ポケベルやトランシーバーがこれらに該当するかは議論の余地があるが、同法では戦闘に関係ない民間人・捕虜の保護も規定されている。病院やマーケット、葬列での被害が出ていることから、限りなく黒に近いグレーだといえるだろう。 少なくとも、このような攻撃は社会経済の基本的な信頼モデルを崩壊させる危険性があるだろう。
