トレンドマイクロがとある事例を通して情報の適切な開示の重要性を述べております。

トルコのセキュリティリサーチャー集団「Otku Sen」は、2015年8月中旬、教育目的で「Hidden Tear」と呼ばれるランサムウェアのオープンソースコードを誰もが使えるように github で公開しました。

その中でこの集団は、どのようなものか動画を掲載するとともに、決してランサムウェアとして利用しないように！と悪用しないように警告文も掲載しております。

しかし、悪用されている事例を同社は確認したとのことです。

トレンドマイクロは、改ざんされたパラグアイの Webサイトを確認し、「Hidden Tear」のコードを改変した更新版ランサムウェア（「RANSOM_CRYPTEAR.B」として検出）を拡散する事例を確認しました。

この事例は、改ざんされたWEBサイトから偽のAdobe Flash Player のダウンロードサイトに誘導し、ダウンロードが完了するとファイルが自動的に実行されるというものです。

その結果、ファイルが暗号化されそれを解除してほしかったら、お金を払えという、まさにランサムウェアってケースですね。

今回のケースで特に注目すべきはやはり、ソースコードがオンライン上に公開されていて、それが悪用されて被害が広がった点です。

警告したり、善意で行ったものだとしても、今回の情報公開は適切な方法ではありませんでした。「Deep Web（ディープWeb）」やその他のフォーラムのユーザも、責任逃れのために明確な警告を出すことがあります。また、使用が禁止された技術や知識は、サイバー犯罪者や PC愛好家の興味を引きつけてしまうと指摘する人もいます。

同社はこのように述べ、さらに

脆弱性の仕組みは共有しても、脆弱性の利用法は共有してはいけません。また、不正プログラムの機能に関する情報を共有しても、コードは共有してはいけないのです」

と見解を述べています。

まさにその通りですね。原子力もそうです。薬もそうです。その使い方を間違えればいくらでも悪用することが出来ます。もちろん良法を選択することにより人を救うことも可能なのです。

オープンソースは便利な反面このような危険性を含んでおります。共有・公開する場合には、その開示方法やその量を適切に保つことが重要ですね。

【参考：トレンドマイクロセキュリティブログ（オンライン上に公開されたランサムウェアのコードを悪用。情報共有は適切な範囲と方法の選択が重要）】