ネットの「道案内」を盗み見ろ！PACファイルの脆弱性が招くデジタル誘拐の恐怖
こんにちは！ネットワークセキュリティの世界へようこそ。
皆さんは、会社のPCでインターネットを見るとき、どうやって「どのサイトは直接アクセスして、どのサイトは会社のプロキシサーバーを通すか」を判断しているか考えたことはありますか？
実は、そこにこっそりと書かれた「道案内」のメモが隠されているんです。それが PAC（Proxy Auto-Configuration）ファイル です。
今回は、この便利な「道案内」が悪用されると、一体どんな恐ろしいことが起きるのか。そして、それをどう防げばいいのか、現場の視点から優しく、でも本質を突いて解説していきますね！
—
1. PACファイルって、そもそも何者？
想像してみてください。あなたは巨大なオフィスビルの郵便係です。
届いた手紙（インターネットへのアクセス要求）を見て、こう判断しなければなりません。
- 「社内の掲示板宛の手紙なら、そのまま隣の部署へ届けよう（直接アクセス）」
- 「外部のニュースサイト宛の手紙なら、一度検問所（プロキシサーバー）を通してから届けよう」
この判断ルールを1枚の紙にまとめたものが PACファイル です。ブラウザはこの紙を読み込み、「あ、次はどこへ行けばいいんだな」と理解して通信を行います。
どこで読み込まれるの？
多くの企業では、PCの設定画面に「自動構成スクリプト」という項目があり、そこに http://proxy-server.local/wpad.dat のようなURLが指定されています。ブラウザは電源を入れるたびに、このアドレスに「今日の道案内をちょうだい！」と取りに行くわけです。
—
2. なぜ「道案内」が狙われるのか？
ここからが本題です。もし、誰かがこの「道案内」を勝手に書き換えてしまったらどうなるでしょう？
悪意のある攻撃者がネットワークに侵入し、あなたのPCが読み込むPACファイルを改ざんしたとします。すると、こんなことが起こります。
- 全通信の強制転送: 「YouTubeを見よう」としたのに、PACファイルが「まずは怪しいサーバーを経由してね」と指示を出します。
- 情報の盗み見: 通信内容が攻撃者のサーバーを経由することで、IDやパスワード、機密情報が丸裸になってしまいます。
- C2サーバーへの誘導: マルウェアが外部の司令塔（C2サーバー）と通信するための「裏口」として、このPACファイルが利用されてしまうのです。
いわば、郵便屋さんに偽の地図を渡して、大切な荷物を犯人のアジトへ配送させてしまうようなもの。恐ろしいですよね。
—
3. 守りの鉄則：PACファイルの「身元」を確かめよう
では、どうやってこの「偽の地図」を防げばいいのでしょうか。ポイントは2つです。
① HTTPではなくHTTPSで配信する
多くのPACファイルは http:// で配信されていますが、これだと通信の途中で誰かに中身を書き換えられるリスクがあります。必ず https:// を使い、通信を暗号化して「途中で改ざんされていないこと」を証明しましょう。
② ファイルへのアクセス制限を厳格にする
誰でもアクセスできるサーバーにPACファイルを置いてはいけません。特定のIPアドレスや、認証を通過した端末からしか読み取れないように制限をかけます。
Apache設定例（特定のIPのみ許可する）
# PACファイルが置いてあるディレクトリの設定
<Directory "/var/www/html/pac">
# 誰でも閲覧できる状態を禁止
Order Deny,Allow
Deny from all
# 許可された社内ネットワークのIPアドレスのみ許可
Allow from 192.168.1.0/24
# HTTPS接続を強制する設定（SSLRequireSSLなど）
</Directory>—
4. 現場の知恵：PACファイルの中身をチェックしよう
皆さんのPCが読み込んでいるPACファイルに、怪しい記述がないか確認する簡単な方法があります。中身はただのテキストファイルですので、ブラウザのアドレスバーにそのURLを入力してみてください。
中身はこんな風に書かれています。
function FindProxyForURL(url, host) {
// 社内宛なら直接通信
if (shExpMatch(host, "*.internal.company.com")) {
return "DIRECT";
}
// それ以外はプロキシを経由する
return "PROXY proxy.company.com:8080";
}もし、ここに見覚えのないドメインや、return "PROXY 123.45.67.89:8080"; のような不自然なIPアドレスが書かれていたら要注意です！即座に管理者に報告しましょう。
—
最後に：ネットワークは「性悪説」で考えよう
ネットワークの世界では、「誰もが嘘をつく可能性がある」という ゼロトラスト の考え方が大切です。「いつも通りだから大丈夫」ではなく、「この道案内は本当に正しいのか？」と常に疑う目を持つこと。
今日の話で、PACファイルがただの設定ファイルではなく、ネットワークの「命綱」であることが伝わったなら嬉しいです。
皆さんのインフラ構築が、より堅牢で、より安全なものになりますように。また次の技術解説でお会いしましょう！
コメント