バックドアとは、正規のログインや認証、管理者の許可を通らずにシステムや機器へ入れる、隠された入口のことです。特定の製品やサービスの名前ではありません。ソフトウェアやハードウェアに、意図的に、または不正に仕込まれた「裏口」を指す一般的な言葉です。
バックドアとは何か
正規の入口との違いは、利用者や管理者がその存在を知らず、自分で止めることもできない点にあります。仕込む人は 2 通りです。1 つは製品の作り手自身、もう 1 つは配布や更新の途中に入り込んだ第三者です。後者はソフトウェアの供給網（サプライチェーン）を狙った攻撃と呼ばれます。
よく一緒に問題になるのが「ハードコードされた鍵」です。これは製品の中に固定の鍵やパスワードが埋め込まれている状態を指します。鍵を知っている人なら誰でも保護を外せるため、結果としてバックドアと同じ危険を生みます。
「使い方」や「料金」はあるのか
バックドアは買ったり契約したりするものではないので、料金はありません。利用者が「使う」ものでもなく、見つけて取り除くべき欠陥です。
エンジニアにとって大事なのは、使っている機器や拡張機能、周辺機器が、どこから来たどの版なのかを把握することです。そのうえで、問題が報じられたらすぐに確かめられる状態にしておきます。以下の事例が示すとおり、「認証済み」「暗号化」「セキュア」という表示だけでは安全の保証になりません。
実際に報じられた事例
Android TV の機器（セットトップボックス）：Googleは、Android TVの認証を受けたメーカーが、130万台のセットトップボックスに不正なバックドアを仕込んでいたと明らかにしました。米Tom's Hardwareの報道によると、このメーカーは機器へのアクセス権を犯罪者に売っていました。乗っ取られた機器は、操られる機器の群れ（ボットネット）として広告詐欺やレジデンシャルプロキシに使われていたといいます。レジデンシャルプロキシとは、一般家庭の回線を経由して通信を中継する仕組みです。
「暗号化」USB：Lenovoの指紋認証付き「暗号化」USBドライブの中身は、暗号化されていないSDカードだったとTom's Hardwareが報じました。報道のURLの記述によると、この製品はAES-256で暗号化すると説明して売られていました。さらに追跡調査では、「セキュア」をうたうほかのUSB製品からもバックドアとハードコードされた鍵が見つかったとされています。
エディターの拡張機能：Ars Technicaによると、CursorにあったAnthropicのVS Code拡張機能に、12時間近くバックドアが仕込まれていました。どのように仕込まれたのか、どの版が影響を受けたのか、利用者に被害があったのかは、当サイトでは確認できていません。
企画・DX担当者と投資家が見るべき点
企画・DX担当者に向けて：機器や開発ツールを導入するときは、認証の有無や製品説明だけで判断しないことが大事です。ここからは当サイトの見方ですが、調達先が問題を公表したときに、自社のどこで使っているかをすぐ特定できる台帳を持っておく価値は大きいと考えます。
投資家に向けて：バックドアそのものに「作っている会社」や「競合製品」はありません。投資の観点では、市場ではなくリスク要因として見るものです。上の事例では、Androidの認証制度の下にあるメーカー、ストレージ製品、開発者向けの拡張機能が対象になりました。家庭向けの機器から開発の現場まで、範囲は広いということです。どの企業がこの問題への対策で収益を得ているかは、本記事の情報源には含まれていないため書いていません。
