拙い日本語で「あなたのWebカメラをマルウェアで乗っ取りました。あなたが動画を視聴しているシーンを撮影しました。流されたくなければビットコインを」といったメールが届いたことはないだろうか。

　多くの場合、そうしたメールは詐欺メールの一種であって、もちろん無視するのが正解だ。しかし、時にはメール本文に利用しているパスワードが書かれていることがあり、それに見覚えのある人は「まさかホントに撮影された？」と思い込んでしまうこともある。

　そもそも、Webカメラを乗っ取ってユーザーに気付かれないように撮影することは容易ではない。何らかの手段でカメラを乗っ取ったとしても、撮影しているときはLEDの点灯によってカメラが作動中であることが示されるからだ。PCに内蔵のWebカメラの多くは視界に入る位置に設置されているため、PCを使用しているときにLEDが点灯したり点滅したりすればそれに気が付くはずだ。

　だから「PCで動画を視聴しているあなたを撮影した」という脅し文句はフェイクだと容易に判断できるわけだ。

　だが、2024年11月に韓国で開催されたセキュリティハッカソンカンファレンス「POC 2024」でセキュリティエンジニアのアンドレイ・コノバロフ氏がノートPC内蔵のWebカメラを乗っ取ってLEDインジケーターを点灯させないようにする手法を発表し、セキュリティ業界で話題となった。

　コノバロフ氏は、LenovoのノートPC「ThinkPad X230」に内蔵されているWebカメラについて、付随しているLEDインジケーターを制御できる手法を公開した。

　同氏はその手法を「Covertly turning off the ThinkPad webcam LED indicator」というタイトルのレポートにまとめ、カンファレンスで発表した。また、同時にその技術を「Lights Out」という名称で「GitHub」に公開した。

　ThinkPad X230に内蔵されたWebカメラは内部的にUSBで接続されているのだが、コノバロフ氏が開発したLights OutはUSB経由でWebカメラにアクセスし、そのファームウェアを改ざんできるという。

　ThinkPad X230内蔵のWebカメラの場合、Ricoh R5U8710 USBカメラコントローラーが搭載されていて、これがLEDインジケーターを制御する。この内部メモリの0x80アドレスを書き換え、カメラ基板のSPI（Serial Peripheral Interface）チップにカスタムファームウェアを書き込むことで制御機能を奪取できるという。

　こうしてLEDインジケーターを点灯させずにWebカメラを利用できる。つまりPCに侵入したマルウェアが勝手にカメラを動作させても気付かれない可能性が高くなるわけだ。コノバロフ氏によればThinkPad X230と同様に内部的にUSB接続されているWebカメラであれば、同じ手順でハッキングが可能だという。ただ、ツールを使うことでWebカメラのファームウェアが書き換えられて動作不能に陥る可能性があるため注意が必要だ。

　あくまでも、コノバロフ氏は「WebカメラのLEDインジケーターを制御可能にするツール」としてツールのソースコードをオープンソースとして公開したのだが、Lights Outがマルウェアの機能として攻撃者に悪用されたら問題だ。

　Lights Outが機能しないような対策をメーカーが講じてくれることに期待したいところだ。

上司X：　ノートPCのWebカメラを乗っ取ったときにLEDを点灯させないワザが公開された、という話だよ。

ブラックピット：　機種限定ですよね？

上司X：　ああ、ThinkPad X230に対応するツールということだが、他のマシンでも応用は利きそうだ。

ブラックピット：　ツール自体は別に悪意のあるものではないんですものね。

上司X：　まあ、そうだな。あくまでもWebカメラのLEDの点灯を制御する、という目的だ。

ブラックピット：　でも、やっぱりカメラのオン・オフってLEDで確認しますよね。さすがに最近のマシンだとLEDインジケーターは搭載されていますから。非点灯ならまさかカメラが動作しているとは思えませんよ。

上司X：　LEDインジケーターが信用ならないとすると、何をどうしたらいいものか。

ブラックピット：　やっぱり物理的なフタですかねえ。最近だとカメラのレンズを覆うシャッターを搭載するノートPCも少なくありませんし。なんかちょっと理不尽な気もしますけど。

上司X：　デジタルなアイテムにアナログな対策だからそう感じる。俺なんて開き直ってオンライン会議ないときは黒いシールでフタしてぜ（笑）。少々格好悪いかもしれないけど、身の安全のためには仕方ないかもな。