PCカメラの乗っ取り、実は簡単？ こっそりハックする手口を暴露：807th Lap

PCのWebカメラが作動中かどうかは、Webカメラの横にあるLEDが点灯しているかどうかで判断できる。だが、ユーザーに分からないようにWebカメラを乗っ取る方法があるらしい。

[キーマンズネット]

　Web会議が浸透したことでWebカメラを狙うサイバー攻撃が増えた。実際、Webカメラの乗っ取り被害が多数報告されていて、セキュリティ企業や専門家は警鐘を鳴らしている。

　「最近のWebカメラは作動中の時はLEDが点灯してるから分かるでしょ」と思う人も多いだろう。だが、LEDを点灯させずユーザーに気付かれずにWebカメラをハッキングできる技術が公開され、セキュリティ業界で話題になった。これからはLEDの点灯だけでは、乗っ取られたかどうかを判断できないかもしれない。

　拙い日本語で「あなたのWebカメラをマルウェアで乗っ取りました。あなたが動画を視聴しているシーンを撮影しました。流されたくなければビットコインを」といったメールが届いたことはないだろうか。

　多くの場合、そうしたメールは詐欺メールの一種であって、もちろん無視するのが正解だ。しかし、時にはメール本文に利用しているパスワードが書かれていることがあり、それに見覚えのある人は「まさかホントに撮影された？」と思い込んでしまうこともある。

　そもそも、Webカメラを乗っ取ってユーザーに気付かれないように撮影することは容易ではない。何らかの手段でカメラを乗っ取ったとしても、撮影しているときはLEDの点灯によってカメラが作動中であることが示されるからだ。PCに内蔵のWebカメラの多くは視界に入る位置に設置されているため、PCを使用しているときにLEDが点灯したり点滅したりすればそれに気が付くはずだ。

　だから「PCで動画を視聴しているあなたを撮影した」という脅し文句はフェイクだと容易に判断できるわけだ。

　だが、2024年11月に韓国で開催されたセキュリティハッカソンカンファレンス「POC 2024」でセキュリティエンジニアのアンドレイ・コノバロフ氏がノートPC内蔵のWebカメラを乗っ取ってLEDインジケーターを点灯させないようにする手法を発表し、セキュリティ業界で話題となった。

　コノバロフ氏は、LenovoのノートPC「ThinkPad X230」に内蔵されているWebカメラについて、付随しているLEDインジケーターを制御できる手法を公開した。

　同氏はその手法を「Covertly turning off the ThinkPad webcam LED indicator」というタイトルのレポートにまとめ、カンファレンスで発表した。また、同時にその技術を「Lights Out」という名称で「GitHub」に公開した。

　ThinkPad X230に内蔵されたWebカメラは内部的にUSBで接続されているのだが、コノバロフ氏が開発したLights OutはUSB経由でWebカメラにアクセスし、そのファームウェアを改ざんできるという。

　ThinkPad X230内蔵のWebカメラの場合、Ricoh R5U8710 USBカメラコントローラーが搭載されていて、これがLEDインジケーターを制御する。この内部メモリの0x80アドレスを書き換え、カメラ基板のSPI（Serial Peripheral Interface）チップにカスタムファームウェアを書き込むことで制御機能を奪取できるという。

　こうしてLEDインジケーターを点灯させずにWebカメラを利用できる。つまりPCに侵入したマルウェアが勝手にカメラを動作させても気付かれない可能性が高くなるわけだ。コノバロフ氏によればThinkPad X230と同様に内部的にUSB接続されているWebカメラであれば、同じ手順でハッキングが可能だという。ただ、ツールを使うことでWebカメラのファームウェアが書き換えられて動作不能に陥る可能性があるため注意が必要だ。

　あくまでも、コノバロフ氏は「WebカメラのLEDインジケーターを制御可能にするツール」としてツールのソースコードをオープンソースとして公開したのだが、Lights Outがマルウェアの機能として攻撃者に悪用されたら問題だ。

　Lights Outが機能しないような対策をメーカーが講じてくれることに期待したいところだ。

上司X：　ノートPCのWebカメラを乗っ取ったときにLEDを点灯させないワザが公開された、という話だよ。

ブラックピット：　機種限定ですよね？

上司X：　ああ、ThinkPad X230に対応するツールということだが、他のマシンでも応用は利きそうだ。

ブラックピット：　ツール自体は別に悪意のあるものではないんですものね。

上司X：　まあ、そうだな。あくまでもWebカメラのLEDの点灯を制御する、という目的だ。

ブラックピット：　でも、やっぱりカメラのオン・オフってLEDで確認しますよね。さすがに最近のマシンだとLEDインジケーターは搭載されていますから。非点灯ならまさかカメラが動作しているとは思えませんよ。

上司X：　LEDインジケーターが信用ならないとすると、何をどうしたらいいものか。

ブラックピット：　やっぱり物理的なフタですかねえ。最近だとカメラのレンズを覆うシャッターを搭載するノートPCも少なくありませんし。なんかちょっと理不尽な気もしますけど。

上司X：　デジタルなアイテムにアナログな対策だからそう感じる。俺なんて開き直ってオンライン会議ないときは黒いシールでフタしてぜ（笑）。少々格好悪いかもしれないけど、身の安全のためには仕方ないかもな。

ブラックピット（本名非公開）

年齢：36歳（独身）
所属：某企業SE（入社6年目）

昔レーサーに憧れ、夢見ていたが断念した経歴を持つ（中学生の時にゲームセンターのレーシングゲームで全国1位を取り、なんとなく自分ならイケる気がしてしまった）。愛車は黒のスカイライン。憧れはGTR。車とF1観戦が趣味。笑いはもっぱらシュールなネタが好き。

上司X（本名なぜか非公開）

年齢：46歳
所属：某企業システム部長（かなりのITベテラン）

中学生のときに秋葉原のBit-INN（ビットイン）で見たTK-80に魅せられITの世界に入る。以来ITひと筋。もともと車が趣味だったが、ブラックピットの影響で、つい最近F1にはまる。愛車はGTR（でも中古らしい）。人懐っこく、面倒見が良い性格。