数百万台が乗っ取られる恐れ　研究者が送った〝無害化更新〟とは？

オランダのセキュリティ企業Eye Securityの研究部門Eye Researchは2026年10月22日、同社のNiels Teusink氏が主導した「Operation IXIM」の全容を公開しました。同日、ルクセンブルクで開かれたセキュリティ会議hack.luでも講演しています。

舞台となったのは、2014年に閉鎖された動画アプリPopcorn Timeの派生版（フォーク版）、Time4Popcornです。その自動更新のしくみに脆弱性（CVE-2026-30612、脆弱性の識別番号）があり、勧告は2026年6月に公開済みでした。Windows版は、署名のない実行ファイルを暗号化なしの通信で受け取り、最も強いSYSTEM権限でそのまま動かす作りになっていました。macOS版も同じように、最上位のroot権限で動きます。

問題は、この更新を配信するドメインが失効していた点です。誰かが悪意を持って取得すれば、好きなプログラムを数百万台に送り込み、乗っ取った端末を束ねる巨大なネットワーク、いわゆるボットネットを作れる状態でした。そこで研究者らが先回りし、この失効ドメインを取得しました。

ドメインを押さえると、更新を求めるリクエストはピーク時で毎秒約50件に達しました。６か月間に数えた端末ごとの識別子は380万超。重複を補正した推定では、Windowsが250万〜300万台、macOSが25万〜35万台にのぼります。当初の見積もり170万台を大きく上回る規模でした。

送り込んだのは、乗っ取りではなく更新機能そのものを止める「無害化更新」です。WindowsでもmacOSでも更新用のプログラムを停止・無効化するだけで、情報の収集もファイルの削除も行っていません。配信は2025年11月から2026年3月まで続き、12月には対象が100万台を超え、３月１日には１日あたり約5,000件まで減りました。配信の総数は延べ200万回を超えています。

他人の端末へ勝手に更新を送る行為には、倫理面の論点もあります。研究者らは法務チームの助言を受けており、マルウェアEmotetを無力化したオランダ警察の「Operation Ladybird」を引き合いに出しています。取得した15のドメインは2026年３月下旬に非営利団体The Shadowserver Foundationへ移され、現在は無害な受け皿として運用されています。

ただし、更新用ドメインの中には第三者が保有したままのものも残ります。本体アプリ自体も2014年当時の古いしくみを危険な設定のまま抱えているとして、研究者らはアンインストールを勧めています。