中国・深セン市の智博通電子（Zbtlink）が製造する20機種以上のルーターに、バックドアがあらかじめ組み込まれていることが、米サイバーセキュリティ研究者の調査で明らかになった。このプログラムは35秒ごとに、特定のIPアドレスと中国で登録されたドメインへ自動的に通信するという。

バックドアを発見したのは、マサチューセッツ州に拠点を置くサイバーセキュリティ企業VulnCheckである。

同社のジェイコブ・ベインズ最高技術責任者（CTO）は8月5日に公表したブログ記事で、今回初めて確認されたバックドアを「Endlessdoors（エンドレスドアーズ）」と名付けたと明らかにした。

バックドアは、智博通電子が製造・販売する複数のルーターに組み込まれており、主に「Zbtlink」と「Wiflyer」の2ブランドの製品で確認されている。同社のルーターは世界各地で販売されている。

日本の大手家電量販店や主要な通販サイトでは、Zbtlinkの正規代理店商品は確認されていない。中国から直送する越境ECサイトなどで販売例が見られ、主に技術に詳しい開発者や、特定の組み込み機器に使用する目的で購入されているとみられる。

Zbtlinkは、この件についてコメントしていない。

ベインズ氏は、問題のあるルーターが世界で少なくとも10万台稼働していると推定している。ただし、具体的な設置場所や、米国内で現在稼働している台数は確認できていない。

研究者が発見したバックドアは、35秒ごとに特定のIPアドレスと中国で登録されたドメインへ自動的に通信する。

ベインズ氏によると、これらのドメインを管理する人物はルーターを遠隔操作し、同じネットワークに接続されたほかの機器へアクセスする可能性があるという。

こうしたルーターは、主に小規模企業や自宅のオフィスで使用するために購入されている。利用者の多くは、バックドアを通じて外部からアクセスできる仕組みが組み込まれていることに、まったく気づいていない可能性がある。

ベインズ氏は「これを私の研究室や大学の研究室に設置すれば、相手を研究室へ直接招き入れるようなものだ。相手はネットワーク内を自由に動き回ることができる」と述べた。

「このような操作能力は、壊滅的な被害をもたらしかねない」。

他社ブランドのルーターにも影響か

Zbtlinkは、他社ブランド向けの受託生産も行っている。

そのため、別のブランドのルーターであっても、Zbtlinkが提供するものと同じハードウェアやファームウェアを採用している場合、同様のバックドアが組み込まれている可能性がある。

本紙は、バックドアが組み込まれた理由や目的、これまでに悪用された事例があるかどうかを確認できていない。

設計段階から組み込まれ、修正は困難

ベインズ氏は、今回の問題は通常の修正プログラムでは解決できないとの見方を示した。問題のプログラムが、メーカーによって製品の設計段階から組み込まれているためである。

通常、サイバーセキュリティ業界では、脆弱性を発見した場合、まずメーカーへ通知し、修正するための時間を与えた後に情報を公表する「協調的開示」が行われる。

しかしVulnCheckは今回、この手順を取らず、発見した問題を直接公表した。

ブログ記事は、「協調的開示の目的は、メーカーに欠陥を修正する時間を与えることにある。これは、問題となる動作がメーカーによって意図的に作られたものではないとの前提に立っている。しかし、今回の事例では、その前提が成り立たない」と指摘した。

ベインズ氏は、今回の問題について、パーサーのメモリ破損といった一般的な脆弱性ではないと説明した。

「これはメーカー製品の構成要素であり、メーカー自身が作成した初期化スクリプトによって、機器の起動時に実行される。20機種以上にわたり、数年分のファームウェアイメージに含まれている。そのため、利用可能な修正パッチは存在しない」

同氏によると、VulnCheckは関係者に警戒されることを避けるため、メーカーへ事前に通知せず、直接公表する方法を選んだ。

「メーカーに、製品から脆弱性を発見したと知らせても、機器の所有者には何の利益もない。バックドアの通信基盤を運用している人物に警告を与えるだけだ」と記事は述べている。

研究者は、信頼できるメーカーのルーターを購入し、パッチの適用だけでサイバー攻撃のリスクを防げると期待しないよう呼びかけている。

中国製ネットワーク機器への懸念強まる

今回のバックドアの発見により、中国製ネットワーク機器がもたらすサイバーセキュリティ上のリスクに対する西側諸国の懸念が、さらに強まっている。

西側各国の政府は長年、こうした機器がハッカーに悪用される危険性を警告してきた。米規制当局も今年、外国製ルーターの輸入を制限する措置を進めている。

米連邦通信委員会（FCC）は3月、国家安全保障上の懸念を理由に、外国で製造された新型の家庭用ルーターの輸入を禁止すると発表した。その後、中国以外の企業が製造する多くの製品は、規制の対象外とされた。

テキサス州は2月、カリフォルニア州に本社を置くルーターメーカーTP-Linkを提訴した。

TP-Linkは中国企業から分離して設立された企業で、テキサス州は、同社が中共当局による米国消費者の機器へのアクセスを許していたと主張している。

TP-Linkは、この主張を否定している。