最初の目標はTシャツだった——政府に弱点を知らせるハッカーの動機

ハッカーが政府のシステムに弱点を見つける。その発見に対して贈られるのが、Tシャツだったとしたら、意外に感じるかもしれない。

オランダの倫理的ハッカー、チェスター・ファン・デン・ボーハールト氏にとって、そのTシャツは、自分の技術を試す最初の目標だった。

2024年に公開されたオランダ国家サイバーセキュリティセンター（NCSC）のインタビューでは、技術的な挑戦の楽しさと、社会への貢献が結びついた活動の様子が語られている。

自分にも、Tシャツを手に入れられるのか

ハッキングを学び始めると、覚えた技術を試したくなる。しかし、組織のシステムへ勝手に入り込むことはできない。

チェスター氏は、オランダ政府に、一定の範囲と条件の下で脆弱性を調べ、報告する仕組みがあることに注目した。

CVD（Coordinated Vulnerability Disclosure）と呼ばれる取り組みだ。弱点を見つけた人が管理者へ知らせ、対応につなげる。

NCSCの記事によると、重要な脆弱性の発見に対しては、Tシャツなどで貢献をたたえることがある。すべての報告が、その対象になるわけではない。

チェスター氏は、自分にもそのTシャツを獲得できるのかという気持ちで、活動を始めたと語っている。

一枚のTシャツから、技術を磨く活動へ

最初は腕試しだった取り組みが、次第に自分の技術を磨く方法になった。

新しい方法を学んだとき、それが通用するのかを、許可された条件の中で確かめる。彼はこの活動を、デジタルのチェスになぞらえている。

原記事では、貢献を重ねた結果、さまざまな色のTシャツに加え、セーターも手に入れたことが紹介されている。また、NCSCの貢献者を紹介する「Wall of Fame」にも名を連ねた。

ただし、こうした話から、彼が金銭にまったく関心を持たない人物だとまで断定することはできない。インタビューで確認できるのは、少なくともこの活動について、技術への挑戦や報奨を得る楽しさを本人が語っているということだ。

約50件の報告。そのすべてが調査されるわけではない

報告した件数を尋ねられたチェスター氏は、約50件だと思う、と答えている。そのうち実際に取り上げられ、調査されたものは約20件という見積もりだった。

これらは、インタビュー時点での本人の概数であり、NCSCが公開した公式の集計ではない。

また、調査されなかった報告の理由も、原記事では説明されていない。残りがすべて誤りだった、あるいは無視されたと読むことはできない。

件数だけでなく、受け取った側が対応できる内容にすること。それが、彼の報告で重視されている点だ。

発見を、相手が動ける情報にする

なぜ報告が評価されるのか。チェスター氏は、分かりやすい説明の重要性を挙げている。

何を見つけたのか。どのように発見したのか。なぜ重要で、急ぐ必要があるのか。

その情報を具体的にまとめ、NCSCがすぐに取り扱えるようにするという。弱点を見つける能力だけではなく、発見を相手へ伝える作業にも力を注いでいる。

反対に、報告窓口や受付方針が分からない組織では、知らせること自体に大きな手間がかかる。彼は、そうした仕組みが整っている組織を中心に報告しているとも述べている。

社会を守ることは、自分にも関係している

チェスター氏が語る動機には、もう一つの側面がある。

オランダ政府がハッキングされれば、自分にも影響が及ぶ。だからこそ、悪用される前に脆弱性を見つけることには、自分自身にとっても意味があるという。

技術を磨きたいという気持ちと、自分が暮らす社会を安全にしたいという考え。その二つは、彼の説明の中で無理なくつながっている。

一枚のTシャツを目指した挑戦は、発見を積み重ね、伝え、対応につなげる活動へと育っていった。

次回は、彼が技術を使う際に重視する「踏み込まない境界線」を取り上げる。

出典：オランダNCSC、2024年10月24日公開のChester van den Bogaard氏へのインタビュー。