セキュリティ研究者として活動する「JAckAi」が、PHPの重大な脆弱性をめぐって注目を集めています。
脆弱性を再現したとして情報を公開したところ、「なぜ修正前に出したのか」とSNSで批判が広がりました。
JAckAiとは何者なのか、年齢や国籍、経歴・学歴、活動内容と今回炎上した理由を見ていきます。
JAckAiは何者？
JAckAiは、サイバーセキュリティ分野で脆弱性の調査やプログラム開発などを行っている人物です。
Xでは「Jλckλι」という名前を使用し、「@J4ck3LSyN」のアカウントで活動しています。
プロフィールでは、自身をフルタイムのサイバーセキュリティ研究者・開発者と紹介しています。
| 活動名 | JAckAi |
|---|---|
| Xアカウント | @J4ck3LSyN |
| 本名 | 非公表 |
| 年齢 | 非公表 |
| 国籍 | 非公表 |
| 学歴 | 非公表 |
| 肩書き | サイバーセキュリティ研究者・開発者 |
| 活動内容 | 脆弱性調査、セキュリティ研究、プログラム開発など |
大学教授や公的な研究機関に所属する研究者として知られている人物ではなく、インターネット上を中心にセキュリティ関連の活動をしている人物とみられます。
今回、日本でも名前が広がったきっかけとなったのが、PHPの重大な脆弱性をめぐる投稿でした。
JAckAiの年齢や国籍は？
JAckAiの年齢は明らかになっていません。
生年月日についても公開されておらず、何歳なのか判断できる情報は確認されていません。
国籍や出身地についても同様に公表されていません。
Xでは英語を中心に投稿していますが、使用している言語だけで国籍を判断することはできません。
本名や顔写真などもほとんど表に出していないことから、私生活に関する情報は公開せず、技術的な活動を中心に発信している人物とみられます。
JAckAiの経歴や学歴は？
JAckAiの詳しい経歴や学歴についても、公開されている情報は限られています。
出身高校や大学、専門学校などは明らかになっていません。
また、勤務先となる企業や所属している研究機関についても、はっきりと確認できる情報はありません。
一方で、Xでは以前からサイバーセキュリティやプログラムに関する投稿を行っています。
自身のプロフィールでもサイバーセキュリティ研究者・開発者と名乗っていることから、脆弱性の調査やソフトウェア開発を中心に活動していると考えられます。
今回だけ突然脆弱性について発信した人物ではなく、もともとセキュリティ分野の情報を扱っていた人物ということになります。
JAckAiはどんな活動をしている？
JAckAiは、ソフトウェアやシステムに存在する脆弱性を調べ、その仕組みや影響を検証する活動を行っています。
脆弱性とは、システムやソフトウェアに存在するセキュリティ上の弱点のことです。
内容によっては、第三者が外部からサーバーへ侵入したり、本来許可されていない操作を行ったりする原因になることがあります。
JAckAiは今回、PHPに存在するとされた重大な脆弱性について、自ら再現したとしてXで技術的な内容を投稿しました。
この投稿が拡散され、日本でもJAckAiという名前が広く知られることになります。
JAckAiの脆弱性公開では何があった？
今回問題になったのは、PHPに関係する重大な脆弱性です。
PHPは、Webサイトを動かすために世界中で使用されているプログラミング言語です。
WordPressでもPHPが使われているため、Webサイトを運営している人にとっても無関係ではありません。
今回見つかった問題は、条件によっては外部からサーバー上で不正な操作をされる可能性があるとして、非常に危険性の高いものとされました。
JAckAiは、この脆弱性を再現したとして技術的な情報を公開しました。
しかし、その時点では公式側による修正版が十分に行き渡っていない状況だったとされます。
そのため、「なぜ修正される前に具体的な情報を公開したのか」という点が問題視されることになりました。
なぜ脆弱性を公開して炎上した？
JAckAiが炎上した最大の理由は、脆弱性を見つけたことではありません。
問題となったのは、その情報を公開したタイミングです。
たとえば家の鍵に重大な欠陥が見つかったとします。
鍵を交換する前に「ここをこうすれば簡単に開けられる」と広く公開してしまえば、防犯対策をしたい人だけではなく、侵入しようとする人にも方法を知られる可能性があります。
今回のJAckAiの行動も、SNSではこれに近いものとして受け止められました。
セキュリティの世界では、重大な脆弱性を発見した場合、まず開発元などへ非公開で連絡し、修正版が用意された後に詳細を公表する方法があります。
修正前に具体的な内容が出れば、利用者が対策できていない状態で攻撃者にヒントを与えてしまう可能性があるためです。
そのため、「脆弱性を見つけたことは問題ではないが、公開の仕方が危険だったのではないか」という批判が集まりました。
JAckAiが最初に情報を漏らした？
今回の騒動で注意したいのが、JAckAiが最初に脆弱性情報を流出させた人物とは限らないことです。
脆弱性の存在については、JAckAiが投稿する以前から外部へ情報が広がっていたとされています。
その後、複数のセキュリティ研究者が内容を解析し、JAckAiも脆弱性を再現したとして情報を発信しました。
そのため、「脆弱性を最初に漏らした人物」と「漏れた情報を調査して公開した人物」は分けて考える必要があります。
JAckAiが批判されているのは、最初の情報流出そのものではなく、修正が十分に整う前に技術的な内容を公開したとみられている点です。
JAckAi本人は批判にどう反応した？
JAckAiは、情報公開について批判が出た後もX上で反応しています。
自身たちは短時間で脆弱性を発見できたとして、悪意を持つ人物でも同じように見つける可能性があったという趣旨の説明をしています。
すでに情報が外部へ出ている以上、攻撃者だけが解析を進めるより、防御する側にも情報が共有された方がよいという考えがあったとみられます。
一方で、具体的な技術情報まで修正前に公開する必要があったのかについては、現在も意見が分かれています。
DEATHDOL NOTEの投稿でも話題に
日本でJAckAiの名前が急速に広がったきっかけの一つが、DEATHDOL NOTEの投稿です。
DEATHDOL NOTEはJAckAiを「研究者」として取り上げ、脆弱性の内容を公開した人物として紹介しました。
さらに「害悪度SSS+」や「諸悪の根源」といった強い言葉を使って批判しています。
投稿では、今回の問題を家の防犯に置き換えた説明も紹介されていました。
「この場所を操作すれば簡単に家へ入れる」といった情報を、対策が済む前に公開するようなものだという内容です。
セキュリティに詳しくない人にも状況が伝わりやすかったことから、この投稿をきっかけにJAckAiを知った人も多かったようです。
ただし、「諸悪の根源」などの表現はDEATHDOL NOTE側の評価です。
JAckAiが今回の脆弱性情報を最初に流出させた人物だと確認されたわけではありません。
SNSの反応は？
SNSでは、JAckAiの情報公開を疑問視する声が多く見られます。
特に目立っているのが、公式側の修正が整う前に情報を出した点に対する反応です。
- 「なぜ修正版が出るまで待てなかったのか」
- 「攻撃する人にもヒントを与えてしまうのでは」
- 「脆弱性を見つけたことより公開方法が問題」
- 「PHPを使っているサイトが多いだけに怖い」
- 「ハッカーに情報を与えることにならないのか」
厳しい批判がある一方で、JAckAiだけを原因として扱うことに疑問を持つ声もあります。
脆弱性の存在自体はすでに外部へ知られていたため、「攻撃者だけが情報を持つより、管理者側にも情報が共有された方が対策しやすいのではないか」という意見です。
また、今回の情報を見てPHPのバージョンやサーバー環境を確認したという人もいました。
そのためSNSでは、「公開は危険だった」という批判と、「防御側への注意喚起という面もあった」という意見の両方が出ています。
脆弱性はその後どうなった？
PHP側は、その後問題となった脆弱性に対応するセキュリティアップデートを公開しています。
修正版が提供されたことで、利用者側もアップデートによる対策が可能になりました。
ただし、PHPは世界中の多くのWebサイトで利用されています。
サーバーやWebサイトによっては古いバージョンを使い続けている場合もあり、修正版が出たからといってすべての環境がすぐ安全になるわけではありません。
今回の一件では、脆弱性そのものの危険性だけでなく、「発見した情報をいつ公開するのか」というセキュリティ研究者側の判断も大きな話題となりました。
まとめ
JAckAiは、Xで「@J4ck3LSyN」として活動し、自身をサイバーセキュリティ研究者・開発者と紹介している人物です。
年齢や本名、国籍、学歴、所属先などの詳しいプロフィールは公表されていません。
今回注目されたのは、PHPに関する重大な脆弱性を再現したとして、修正が十分に整う前に技術情報を公開したことでした。
SNSでは「攻撃者にも情報を与えてしまう」と批判された一方、脆弱性情報はそれ以前から外部へ広がっていたため、防御側への情報共有だったと見る声もあります。
JAckAiが最初の情報流出元だったと確認されたわけではなく、今回の騒動では「誰が最初に漏らしたのか」と「誰がその後に解析・公開したのか」を分けて考えることも重要です。
コメント