米上院議員ワイデン氏、マイクロソフトを国家安全保障上の脅威として名指し

米国 ロン・ワイデン上院議員は最近、FTC委員長宛ての書簡で、彼が「重大なサイバーセキュリティ上の過失」と表現する行為により、マイクロソフトを国家安全保障上の脅威として指定した。 

書簡の中で、ワイデン氏はマイクロソフトの複数の高名なサイバーセキュリティ事件における役割に関する調査を求め、同社の慣行が重要インフラと米国の国家安全保障を危険にさらしていると主張した。

ワイデン氏がマイクロソフトを非難

9月10日付のFTC委員長アンドリュー・ファーガソン宛ての書簡において、ワイデン上院議員は、マイクロソフトの「重大なサイバーセキュリティ上の過失」が、Windowsオペレーティングシステムのデフォルト設定に起因する部分もあるとして、米国の医療機関を含む重要インフラに対するランサムウェア攻撃を引き起こしたと非難した。

ワイデン氏はマイクロソフトを「被害者に消火サービスを提供する放火犯」に例え、政府機関や他の企業は、同社が「エンタープライズITにおいてほぼ独占的な地位」を握っているため、同社の製品を使用する「他に選択肢がない」と述べた。

ワイデン氏は、2024年5月に病院運営会社のアセンション（Ascension）に対するランサムウェア攻撃を主要な例として挙げた。

同社の発表によれば、この事件では約560万人の個人の医療および保険データが漏洩した。彼は、病院運営会社が、アセンションのラップトップに搭載された契約者がマイクロソフトのBing検索エンジンから提供された悪意のあるリンクをクリックしたとスタッフに通知したと記した。

ワイデン氏は、マイクロソフトが時代遅れの暗号化技術とデフォルト設定のサポートを続けていたことが、アセンションの脆弱性攻撃につながったと主張した。また、同社は企業に対する脅威の軽減方法に関する適切な教育をまだ行っていないとも述べた。

マイクロソフトの spokesperson は水曜日、ワイデン氏が言及した暗号化基準であるRC4が確かに古いものであることを認めたが、同社のトラフィックの「0.1%未満」を占めており、顧客の使用を抑制していると語った。

「しかし、その使用を完全に無効にすると、多くの顧客システムが破綻する」とspokespersonは述べ、同社は警告やガイダンスを提供しつつ、顧客がそれを使用できる範囲を段階的に縮小している。

RC4は2026年第1四半期から特定のWindows製品でデフォルト無効化され、既存の展開には「追加の緩和策」が含まれると、同社は述べている。

ワイデン氏が裁判制度のサイバーセキュリティ慣行の見直しを要求

マイクロソフトに対するワイデン氏の動きは、彼がジョン・ロバーツ最高裁判事に連邦裁判制度のサイバーセキュリティ慣行に関する包括的な見直しを促して以来、間もない時期に起こったものである。

彼の要請は、電子事件管理システムの重大なハッキング事件の後に行われたもので、これは5年間で2回目の大規模な侵害であった。

最新の侵害は今年6月に記録され、2015年から行政機関で標準化されていた基本的なセキュリティ対策である多要素認証の実装を、裁判所がついに発表するきっかけとなった。

ワイデン氏の見解では、裁判所のサイバーセキュリティ上の過失は、進行中の調査や連邦の証人に関連する機密情報が外国の敵対勢力によって悪用される可能性があり、国家安全保障に深刻なリスクをもたらす。

事件管理システムに保存された機密の裁判所提出書類には、国家安全保障の情報源や方法に関する極めて機密性の高い情報、主要な連邦証人の名前、または進行中の調査の詳細が含まれることがよくある。

このような情報が外国の敵対勢力や犯罪カルテルの手に渡れば、米国人のセキュリティに甚大な被害をもたらす可能性がある。ニューヨーク・タイムズが「海外のつながりを持つ犯罪活動に関連する文書」が最新のハッキングの標的であったと報じていることも、事態を悪化させている。