こんにちは！インフラの裏側を覗き見るのが大好きな、技術メディアの主筆ライターです。
皆さんは普段、会社のパソコンを開いて「よし、今日も業務アプリをアップデートするか！」と何気なくボタンを押したり、サーバーから安全なプログラムをダウンロードしたりしていますよね。そのとき、通信が「正しい相手」に届いていると、どうして信じられるのでしょうか？
実はインターネットの世界には、私たちが想像する以上にスリリングで、一歩間違えば大惨事になりかねない「道案内」の裏側が存在します。今回は、その最たる脅威である「BGPハイジャック（ルーティング異常）」をテーマに掲げ、悪意ある攻撃者がどうやって私たちを偽物のアップデートサーバーへ誘導し、ランサムウェアを送り込んでくるのかを、身近な例えを交えながらじっくり紐解いていきましょう。
難しい専門用語が出てきても「一歩ずつ理解していきましょう！」と優しく導きますので、どうぞリラックスしてコーヒーでも飲みながら読み進めてくださいね。
—
1. インターネットの「巨大な郵便配達網」をイメージしてみよう
まず、私たちが普段使っているインターネットが、どのようにデータをやり取りしているのかを考えてみましょう。
例えば、あなたが東京から大阪の友人へ荷物を送るとします。ダンボール箱（パケット）には、届け先の住所（IPアドレス）が書かれていますよね。トラックの運転手さんたちは、日本中の道路地図を頭に叩き込んで、「この荷物はどの高速道路を通れば一番早く大阪に着くか」を次々にリレー形式で判断しながら運んでいきます。
インターネットの世界でも全く同じことが起きています。世界中の数万というネットワーク（プロバイダーや企業）が、お互いに「うちの近くにはこういう宛先の住所（IPアドレスの範囲）がありますよ！」と声を掛け合いながら、データをバケツリレー式に目的地まで運んでいるのです。
この「ネットワーク同士が、お互いの住所情報を教え合うための共通の言葉（プロトコル）」こそが、今回主役となる BGP（Border Gateway Protocol：ボーダー・ゲートウェイ・プロトコル） です。
—
2. BGPハイジャックとは？ 悪意ある「ウソの道案内」の手口
さて、ここからが少し怖いお話です。
もし、悪意を持ったハッカー（あるいは設定を間違えた誰か）が、街中の至るところにある「案内板」を夜の間にこっそり書き換えてしまったらどうなるでしょうか？
東京から大阪へ行くはずの道路案内板をすべて「札幌はこちら」に変えてしまったら、トラックは大変な遠回りをさせられたり、ヘンな場所に誘導されてしまいますよね。これが BGPハイジャック の正体です。
郵便配達の例えで考えてみる
1. 本来の正しい世界：
「大手セキュリティベンダーA社のアップデートサーバーの住所は、あちらのビル（正規のIPアドレス）です！」と世界中の郵便局が正しくアナウンスしています。
2. BGPハイジャックが起きた世界：
悪者「サイバー犯罪者グループ」が、世界のネットワークの要所に対して、「いやいや、A社のアップデートサーバーの本当の住所は、こちらの怪しいアパート（攻撃者のサーバー）ですよ！」と大嘘の道案内（偽のBGP経路情報）を大声で流します。
インターネットのルーターたちは、そのウソを疑うことなく、「おっ、そっちの方が近道らしいぞ」と信じ込んでしまいます。その結果、あなたのパソコンが「アップデートファイルをください！」と叫んだその声は、本来のA社ではなく、犯罪者が用意したソックリ偽物のサーバーへと吸い込まれてしまうのです。
そして、そこに待っているのは……そう、見た目は本物そっくりに偽装された「ランサムウェア入りの悪質なアップデートプログラム」です。怖いですよね。
—
3. なぜBGPはウソをつかれてしまうのか？
「ちょっと待って！ インターネットってそんなにセキュリティがガバガバなの？」と思ったそこのあなた。その感覚、大正解です。
実は、初期のインターネットをデザインした偉大な先人たちは、「お互いのネットワーク同士は、みんな嘘をつかない善意の仲間である」という性善説をベースに仕組みを作りました。そのため、BGPには「相手が教えてくれた道案内が本当に正しいものかどうか」をその場で厳密に裏付ける仕組み（認証機能）が最初からは備わっていなかったのです。
もちろん、現代のインターネットではこの弱点を克服するために、RPKI（Resource Public Key Infrastructure）というデジタル証明書を使って「このIPアドレスを名乗っていいのは本当にこの会社ですか？」と裏付けをとる防御策が少しずつ普及しています。しかし、世界中のすべてのネットワークが完璧にこれを取り入れているわけではなく、今でも設定ミスや巧妙な攻撃によってハイジャック事件が起きてしまっているのが現実です。
—
4. ネットワークレベルでどう防ぐ？ 実務で使える防衛策と設定のポイント
「じゃあ、私たちインフラエンジニアやシステム管理者には、なす術もないということですか？」
いいえ、そんなことはありません！ 境界防御やゼロトラストの思想に基づき、ネットワークの現場でできる強力な対抗策はいくつか存在します。
ここからは、実務の現場でそのまま参考にしていただける具体的なアプローチを見ていきましょう。
① 宛先サーバーとの通信における「暗号化と証明書の検証」
たとえBGPハイジャックによって通信経路が別のサーバーに曲げられてしまったとしても、通信の中身が強固に暗号化されており、アプリケーション層で「正しいサーバー証明書（TLS証明書）」を厳格にチェックしていれば、偽物のサーバーに気付くことができます。
例えば、プログラム側でサーバーと通信する際、証明書の検証をオフにする（verify=False のような危険な設定にする）のは絶対にNGです。以下は、Pythonの requests ライブラリを用いて、安全にサーバー証明書を検証しつつ通信するコード例です。
import requests
# ターゲットとなるアップデートサーバーのURL
update_server_url = "https://update.example-vendor.com/check"
try:
# 【重要】verify=True（デフォルト）により、SSL/TLS証明書の正当性を厳格に検証する。
# 万が一、BGPハイジャック等により通信が偽装サーバーに誘導された場合、
# 証明書のホスト名不一致や署名エラー検知により通信が自動的にブロックされます。
response = requests.get(update_server_url, timeout=10, verify=True)
# HTTPステータスコードが正常（200）かチェック
if response.status_code == 200:
print("正常なアップデートサーバーから応答を受け取りました。")
# アップデート処理の継続...
else:
print(f"サーバーから異常な応答が返されました: {response.status_code}")
except requests.exceptions.SSLError as e:
# 証明書エラーをキャッチした場合は、通信経路の異常や中間者攻撃の可能性を疑う
print(f"[警告] SSL/TLS証明書の検証に失敗しました。通信経路が改ざんされている恐れがあります: {e}")
except requests.exceptions.RequestException as e:
print(f"通信エラーが発生しました: {e}")② 自社ルーター/ファイアウォールでの「BGPルーティング情報のフィルタリング」
もしあなたが企業のネットワーク管理者やプロバイダーのエンジニアであれば、BGPのピア（接続先）から受け取る経路情報を厳しくフィルタリングすることが何よりも重要です。
例えば、世界中の全てのIPアドレスを「どの事業者からでも無条件で受け入れる」ような設定にしていると、意図しない不正な経路情報を飲み込んでしまいます。次のように、各事業者がアナウンスしてよい正しいIPアドレスの範囲（IRRデータなどに基づくPrefix Filter）をあらかじめ定義し、怪しい経路を弾く設定（ルートフィルタリング）を施しましょう。
! --- CiscoルーターのBGP設定サンプル（概念的なイメージ） ---
! 1. 自社が信頼する正当なIPアドレスの範囲（プレフィックス）をリスト化する
ip prefix-list VALID-PARTNER-PREFIXES permit 203.0.113.0/24 le 28
ip prefix-list VALID-PARTNER-PREFIXES permit 198.51.100.0/24 le 24
! 2. 外部のISP（プロバイダー）から受け取るBGPルートに対してフィルタを適用する
router bgp 65001
neighbor 192.0.2.1 remote-as 65002
neighbor 192.0.2.1 description Connection to Upstream ISP
! 受信（in）する経路情報に対して、定義したプレフィックスリストを適用する
! これにより、不正なハイジャック経路を受け入れないようにブロックする
neighbor 192.0.2.1 prefix-list VALID-PARTNER-PREFIXES in—
5. おわりに：ゼロトラストの心構えでインフラを守り抜こう
今回は、インターネットの裏側で起こる「BGPハイジャック」という目に見えない脅威と、それがもたらすランサムウェア感染のリスクについて、郵便配達の例えを交えてお話ししました。
「インターネット上の道案内は、いつでも絶対に正しいとは限らない」
この疑う視点こそが、現代のセキュリティエンジニアにとって最も強力な武器になります。
- ネットワークの経路情報は、いつだってウソをつかれるリスクがある。
- だからこそ、通信の暗号化や証明書の検証をサボらない。
- インフラの入口（ルーター）でも、受け取る情報を厳しくチェックする。
こうした泥臭いまでの多層防御の積み重ねが、今日も私たちの大切なシステムやデータをランサムウェアの魔の手から守り抜いているのです。
それでは、また次回の技術解説でお会いしましょう！ 安全で快適なネットワークライフを！
コメント