IBMの元幹部が告発、中国政府系ハッカーによる侵害を「組織的に隠蔽」
米連邦政府にサイバーセキュリティを売り込む巨大IT企業が、自社ネットワークへの国家レベルの侵入を何年も隠し続けていた。そう主張する内部告発訴訟が、今週開封された。
「セキュリティを売る会社」が隠していたもの
IBMで脅威インテリジェンス担当副社長を務めたウィリアム・バーロウ（William Barlow）氏が、IBMとAT&Tを相手取って2020年に提起した訴訟が今週開封された。ニューヨークの連邦裁判所が、米司法省の介入見送りを受けて公開に踏み切ったという。
訴えの骨子はこうだ。2013年から2016年にかけて、中国政府系のハッカー集団APT10がIBMの基幹ネットワークに繰り返し侵入した。IBMは内部調査でそれを把握していた。だが当局にも顧客にも報告せず、連邦政府との契約を維持するために隠蔽した、とバーロウ氏は主張している。
この訴訟は虚偽請求取締法(False Claims Act)に基づく。システムの安全性について虚偽の保証をして連邦政府との契約を得ていたとすれば、詐欺に当たるという論理だ。同法では内部告発者による代理訴訟が認められており、政府は最大で損害額の3倍を回収できる。
5万6000回の「潜在的侵入」
バーロウ氏の訴状によれば、2017年3月にファイブ・アイズ(米英豪加NZ)の情報機関がIBMに侵害を警告し、社内調査が始まった。調査の結論は衝撃的だった。2013年から2016年の間に、APT10による潜在的な侵入が5万6000回以上あったとされる。
その後の調査では、約400のアカウントが侵害され、18カ国にまたがるIBMの全事業部門で約200のシステムとサーバーへのアクセスが確認されたと、社内報告書に記載されていたという。
そして決定的な問題がある。IBMは誰がいつネットワークにアクセスしたかのログを保存していなかったと訴状は指摘する。基本中の基本であるアクセスログがなければ、被害の全容を確認しようがない。調査はそこで行き詰まったとされる。
IBM側は具体的な質問への回答を避けた。広報担当のミキ・カーバー氏は「この訴状は6年前に提出され、米司法省は介入を見送った。IBMは法を遵守していたと確信している」とだけ述べている。
Cloud Hopperの「その後」
APT10の名前に見覚えがある読者もいるかもしれない。2018年12月、米司法省はAPT10のメンバーとされる中国人2名を起訴し、「Operation Cloud Hopper」と呼ばれる大規模なサイバースパイ作戦を公表した。当時のFBI長官クリストファー・レイ（Christopher Wray）氏は、APT10の標的を「世界経済の名士録」と表現した。
Cloud Hopperは、IBMやHPE(Hewlett Packard Enterprise)などの大手マネージドサービスプロバイダーに侵入し、そこを踏み台にして顧客企業のデータを盗む手法だった。米海軍の人事記録10万件以上が窃取されたとされ、被害は少なくとも8社の大手IT企業に及んだと報じられている。
当時、IBMは「機密データが盗まれた証拠はない」と否定していた。
今回のバーロウ氏の告発は、その否定に真正面から異を唱えるものだ。訴状には、バーロウ氏が「IBMの基幹ネットワークは外国の国家アクターなどに日常的にハッキングされていた」と証言したと記されている。データは頻繁に盗まれ、政府機関に通知されることは「一度もなかった」と。
子会社にも広がる告発
バーロウ氏の告発はIBM本体だけにとどまらない。
2013年に買収したイスラエルのセキュリティ企業Trusteerが2018年に侵害されたこと。2016年に約26億ドル(当時)で買収した医療データ企業Truven Health Analyticsが、買収後に複数回侵害されたこと。いずれも訴状に含まれている。どちらのケースでも、IBMは適切な調査と開示を怠ったとバーロウ氏は主張している。
Trusteerは不正検知やマルウェア対策を専門とする企業であり、Truvenは米国人の3人に1人の医療給付判断に関わるデータを扱っていたとされる企業だ。セキュリティの専門企業と、膨大な医療データを扱う企業。どちらが侵害されても影響は深刻だが、バーロウ氏の主張が事実であれば、それすらも公にされなかったことになる。
2013年〜 APT10がIBM基幹ネットワークに侵入開始 2016年までに5万6000回超の潜在的侵入。IBMはログを保存せず 2013年 IBM、Trusteerを買収 イスラエルのセキュリティ企業。不正検知・マルウェア対策が専門 2016年 IBM、Truven Health Analyticsを買収 医療データ企業。買収後に複数回侵害されたと訴状は主張 2017年3月 ファイブ・アイズがIBMに侵害を警告 社内調査開始。400アカウント・18カ国200システムへの不正アクセスを確認 2018年 APT10メンバー2名を米司法省が起訴 Operation Cloud Hopperを公表。同年Trusteerも侵害される 2019年 バーロウ氏がIBMを退社 Cloud Hopperの全容が報道される。IBMは「証拠なし」と否定していた 2020年 バーロウ氏が訴訟を提起 虚偽請求取締法に基づく内部告発。訴訟は封印される 2023年 SEC、サイバーインシデント開示規則を施行 上場企業に重要インシデントの4営業日以内の開示を義務化 2026年6月 訴訟が開封 司法省が介入を見送り、裁判所が公開。6年間の封印が解かれる |
問われているのは「体質」
バーロウ氏の代理人であるジェイソン・ブラウン（Jason Brown）弁護士は、「連邦政府にサイバーセキュリティを売りながら、自社にこうしたセキュリティ上の問題を抱えていることは許されない」と述べている。
この指摘は、IBM一社の問題にとどまらない意味を持つ。
Cloud Hopperの全容が報じられたのは2019年だった。それでもIBMを含む被害企業は情報開示に消極的で、セキュリティ担当者が社内の他部門にすら情報を共有できない状況があったと報じられている。巨大IT企業であっても、侵害の公表は自社の判断に委ねられていた時代の話だ。
こうした状況を受け、2023年には米SEC(証券取引委員会)が上場企業に対してサイバーインシデントの重要性判断後4営業日以内の開示を義務づける規則を施行した。だが今回の訴訟が示すのは、規則ができる前の時代に、開示義務がないことを盾にどこまで隠せたのか、という問題でもある。
バーロウ氏の主張はあくまで一方の当事者の訴えであり、IBMは争う姿勢を見せている。司法省が介入を見送った事実も、告発内容の評価を複雑にする。しかし訴状に記された具体的な数字や社内報告書の引用は、仮にその一部でも事実であれば、米連邦政府のサイバーセキュリティ体制そのものへの信頼を揺るがしかねないものだ。
ブラウン弁護士は「積極的に訴訟を進めていく」と述べた。6年間封印されていたこの訴訟が、今後どのような事実を明るみに出すのか。裁判の行方が注目される。
参照元: Former cyber executive turned whistleblower accuses IBM of covering up several data breaches
