記事提供：日経パソコン「日経パソコン」のお申し込み、詳しい内容はコチラから

　では、こうした脆弱性は一体誰が見つけているのだろうか？ 答えは2つ。セキュリティ研究者と攻撃者である（図9）。

　研究者の目的は、自社の製品やサービスに役立てること。ソフトメーカーならば、自社製品の脆弱性を第三者に見つけられる前に修正して、攻撃を未然に防ぐ。セキュリティ企業なら自社のセキュリティ対策製品やサービスに反映させて、修正パッチの公開前でも、脆弱性を悪用する攻撃を防げるようにする。

　通常、研究者は脆弱性が見つかったソフトのメーカーにも報告して、修正を促す。メーカーの多くはそのための窓口を用意。報告者が希望する場合には、名前を公表するなどして感謝の意を表している。

　脆弱性情報を買い取るセキュリティ企業もある。買い取った情報は、自社の対策製品やサービスに反映させた後、メーカーに報告する。

　一方、攻撃者の目的は金銭だ。脆弱性情報を買う企業に売り込むほか、Webサイトなどで売買している。

　売買サイトを通じて脆弱性情報を購入した別の攻撃者は、それを悪用して金もうけをたくらむ。例えば、脆弱性を悪用するウイルスを作成。感染パソコンを乗っ取って、お金になりそうな情報を盗んだり、迷惑メールを送信するプラットフォームとして貸し出したりする。

とはいえ、「全体から見ればそういったケースは少ない。脆弱性が売買、悪用されているのは間違いないが、発見者の多くはメーカーに報告している」（マイクロソフトのセキュリティレスポンスマネージャを務める小野寺匠氏）。開発者の世界は悪人より善人の方がずっと多いようだ。

[ 目次（新着） ]

• 脆弱性を悪用されないために
• 感染してもあなたは無罪！脆弱性とは“乗っ取り”

• 注目記事
• 人気記事
• はてなブックマークより