サポートが完全終了した「Flash Player」は、いまもゾンビのように生き続けている

「Flashは何十年もの間、巨大なセキュリティホールでした。サイバー犯罪者のエコシステム全体が、Flashを利用しているユーザーを狙い撃ちにしています」と、アンチウイルス製品メーカーPC Maticの最高経営責任者（CEO）であるロブ・チェンは言う。「アドビがFlashを終了した現在も、脅威がすぐになくるわけではありません」

ハッカーのFlash離れが進む？

それでも、明るい情報もある。Flashの終了日が近づいてユーザーが減るに従い、ハッカーがFlashの新たな脆弱性の発見や、不正利用に費やす努力を徐々に減らしているのだと、研究者らは指摘する。ハッカーによって広く悪用された最近の脆弱性のひとつは、19年1月に表面化したメモリーの欠陥であり、標的のデバイスを制御できるものだった。

「このところ悪用ツールの作成者たちは、Flashの弱点に徐々に関心を示さなくなっています」と、アンチウイルス企業Malwarebytesの脅威インテリジェンスディレクターであるジェローム・セグラは言う。「その理由の一部はInternet Explorer（IE）の新たな脆弱性にあります。IEの重要性がいまでも高く、ドライブバイダウンロード攻撃に意味がある特定の国において、より正確な攻撃が可能になるのです」

しかしながら、Flash Playerプラグインがこれほど長く魅力的であり続けてきたことには理由があると、セグラは指摘する。オンライン広告との親和性が高いのだ。ネット上であちこちに登場することがなくなれば、ハッカーにとってFlashへの攻撃はそれほど好都合ではなくなる。しかし、攻撃用ツールキットの一部ではあり続けるだろう。

「Flashは『死んだ』かもしれませんが、それでも今後数年間は残り続けるでしょう」と、脅威追跡を行う企業Binary Defense SystemsのCEOであるデイビッド・ケネディは言う。ケネディは企業向けにペネトレーションテストを実施する企業も運営している。

「Flashはいまでも多くのシステムやアプリケーションで多用されており、更新に莫大なコストがかかることがあります。また、Flashに依存する仕組みになっているカスタムアプリケーションをもつ企業もあります。したがって、更新されていないシステムや頻繁な改修が実施されていないシステムには、いまでもセキュリティの穴が存在するのです」

大惨事は繰り返されない？

サポート期間が切れてパッチが当てられていないレガシーソフトウェアは、否応なくサイバーセキュリティ上の問題になる。例えば、常時稼働しているインフラの奥深くに眠るはるか昔の産業制御ソフトウェアや、IoTデバイスに使用されている古いネットワーキングプロトコルなどがそうだ。

マイクロソフトの「Windows XP」が、こうしたロングテール現象に悩まされたのは有名な話である。このため同社は、OSの重要なパッチを何度も、しかもサポートの正式終了後に何年間もリリースしなければならなかった。

研究者は、Flashを確実に終焉させるためにテック業界やアドビが努力したおかげで、Windows XPで起きたような大惨事がFlashで繰り返される可能性は低いと考えている。だが同時に、ハッカーがFlashの「戦術」に精通していることから、今後数年間でチャンスがあればいつでも躊躇なく悪用してくるだろうと戒めている。