10月27日午前1時、まだ明るいViettel Cyber Security Company（VCS）の部屋で、VCSチームの14人のメンバーが喜びを爆発させた。チームは世界最大かつ最も権威のあるサイバー攻撃コンテスト「Pwn2Own 2023」で優勝したのだ。
これは、チーム全員による3か月間の昼夜を問わない継続的な作業と、世界中の最強の対戦相手との粘り強い競争の期待された結果だけではありませんでした。
これは、チームの最年少メンバーであり、現在工科大学（VNU）の3年生である2003年生まれのDo Anh Dungにとって、初めての甘い果実というだけではありません。
数年にわたってこのトーナメントに挑戦してきた Ngo Anh Huy、Nguyen Xuan Hoang、Nguyen Hong Quang などのメンバーにとっては、大会で最高位に到達することだけが目的ではありません。
また、世界で最も権威のあるコンテストの一つでベトナムに最高位をもたらし、情報セキュリティと安全性の分野におけるベトナム人の能力を証明できたことは光栄です。
そして何よりも、それはViettelが何年も前にしっかりと植えた種から収穫された「甘い果実」です。今日に至るまで、VCS と情報セキュリティ専門家チームを擁する Viettel は、情報セキュリティと安全性の能力において世界をリードする企業のひとつであることを誇りに思っています。
Pwn2Own 2023 チャンピオンシップで優勝した VCS チームの 14 人のメンバーは、全員とても若いです。メンバーのほとんどは9x世代出身で、最年少メンバーは2003年生まれです。
しかし、チームのほとんどは長年の「戦い」を経験しており、セキュリティと情報安全の分野で豊富な経験と実績を持っています。チームの最年少メンバーであるド・アン・ドゥン選手でさえ、自己主張することができました。ドゥン選手は、この大会で奇跡を起こし、チーム全体の総合成績に貢献するカテゴリーで優勝したのです。
10月27日夜の最終ラウンド終了時点で、Viettel Cyber Security（VCS）のチームがMaster of Pwnポイント30を獲得して公式に最高勝利を収め、2位チームとの差は12.75ポイントに縮まりました。
この見事なスコアにより、VCS は、Sea Security (シンガポール)、Vupen、Synacktiv (フランス)、Devcore (台湾 - 昨年の優勝チーム) など、大会優勝の有力候補と目される多くの海外の対戦相手を相手に、優勝のタイトルを獲得しました...
コンテストの準備中に起きた課題について、VCS チーム メンバーの Ha Anh Hoang 氏は次のように語りました。「コンテストの 3 か月前に、組織委員会は攻略すべきデバイスを発表しました。そのため、チームは研究に必要な機材を購入できたため、準備期間はわずか 3 か月でした。これらの機器の多くは海外から輸入する必要があり、ベトナムに到着するまでに数か月かかります。
チームメンバーのグエン・スアン・ホアン氏は、「このコンテストには長年参加している選手たちがいます。彼らは豊富な経験を持ち、経済的にも専門的にも非常に強い選手たちです。VCSチームは、今年のコンテストで最高の成功を収めるためには、入念な準備、団結、そして適切な競争戦略を持ってコンテストに臨む必要があると判断しました」と述べています。
ホアン氏は、昨年、VCS チームはこの大会で優勝チームに非常に近いスコアで 2.5 ポイント差で 2 位を獲得したと付け加えた。そこでチームは今年、優勝を目指すことを決意しています。
しかし、優勝への道は簡単ではありません。このコンテストの攻撃対象は、Microsoft、Apple、Google、Samsungなど大手メーカーの、世界中で人気のデバイスやソフトウェアばかりです... - Nguyen Xuan Hoang氏は語りました。
コンテストの要件を満たすため、デバイスは米国から注文する必要があったが、米国市場に適した110Vの電源を使用していたのに対し、ベトナムでは220Vが使用されていたため、ほんの一瞬の不注意でデバイスが「壊れて」しまった。
このコンテストに4回参加したメンバーのNgo Anh Huy氏によると、チームの最大の懸念は、エラーが重複すること、またはメーカーがチームが登録したセキュリティホールを修正する時間がないことだ。昨年、Viettelチームはこのコンテストに参加したが、重複した抜け穴によるポイント減点により準優勝に終わった。
それだけでなく、ビザ手続きが遅れたために、挑戦は土壇場で起こり、チーム全員が試合に間に合うようにトロント（カナダ）に到着することができませんでした。その代わりに、VCS チームの 14 人のメンバーは、競技中に解決できない可能性のある問題について大きな不安を抱えながらオンラインで競技しなければなりませんでした...
しかし、最終結果がすべてを物語っています…VCS チームは勝利しただけでなく、見事な勝利を収めました。
「最終の最高ポイント10部門で優勝したとき、チーム全員が喜びと幸せでいっぱいになりました。この選手権が疑う余地なく、納得のいく勝利であることを証明できたからです」と、グエン・スアン・ホアンは誇らしげにその瞬間を振り返りました。
VCS チームは過去 4 年間にわたり継続的に Pwn2Own に参加し、初めて Pwn2Own チャンピオンシップ トロフィーを獲得しました。これは、Zero Day Initiative サイバーセキュリティ組織が年に 2 回開催するソフトウェアおよび民生用電子機器の攻撃コンテストであり、現在世界で最も「難しい」サイバーセキュリティ コンテストの一つです。
VCSディレクターのグエン・ソン・ハイ氏は、2020年にViettelがスマートTV部門でこの「遊び場」で初の勝利を収めたと語った。 2021年、Viettelはトップ5に入りました。2022年には2位でした。そして今年は圧倒的なポイント数で優勝へと昇り詰める。
Pwn2Own には、世界的に有名なサイバーセキュリティ グループだけでなく、世界中の大手メーカーやテクノロジー企業も参加しています。各試験では、Windows オペレーティング システム、Apple、Xiaomi、Samsung の携帯電話、Canon、HP プリンターなどの一般的なソフトウェアまたはハードウェア デバイスに関する質問が出題されます。
チームはソフトウェアやデバイスの未知のセキュリティ脆弱性を見つけるために競い合い、30 分以内にそれらの脆弱性を実際に悪用する実例を実演する必要があります。
「競合相手は他のセキュリティ専門家グループだけでなく、Apple、Xiaomi、Canon、TP Linkといったデバイスメーカーも含まれると言えるのは、自社のデバイスに脆弱性があることが知られ、顧客の信頼を失うことを嫌がるからです。これらのデバイスサプライヤーは必ずセキュリティチームを擁しており、製品の評判が世間の前で損なわれないよう、競争が始まる前に製品のバグを修正するために多額の費用を投じる用意があります」と、VCSチームのメンバーである専門家のグエン・ホン・クアン氏はTuoi Tre氏に語った。
そのため、試合は開幕から最後まで白熱したものとなるでしょう。なぜなら、競技チームによって脆弱性が発見されたにもかかわらず、メーカーが競技日の直前に突然パッチを適用し、チームがこれまでの努力と成果をすべて失ってしまう可能性が十分にあるからです。
そのため、「本番が近づくにつれて、発見した脆弱性がまだ存在しているかどうかを「監視」するために昼夜を問わず作業する必要があり、発見したバグが修正されたかどうかを製造元が注意深く監視する必要がありました」と、VCS チームの経験豊富な Pwn2Own プレイヤーである Ngo Anh Huy 氏は語ります。
Pwn2Own 2023 トロント コンテストは、携帯電話、スマート スピーカー、監視システム、ネットワーク ストレージ システム、オフィス エレクトロニクスなどのカテゴリを含むハードウェアに重点を置いています。各カテゴリーには、デバイス攻撃の難易度と攻撃デモンストレーションの完成度に応じて、30,000〜100,000米ドルの賞金と2〜10ポイントのスコアが与えられます。
賞金とポイントの両方で最も価値があるのは、最後のカテゴリーであるマッシュアップです。このカテゴリーでは、チームは競技会で指定されたネットワーク ルーターの 1 つでエクスプロイト コードを実行し、前述のカテゴリーのデバイスを攻撃する必要があります。賞金 10 万ドルと 10 ポイントが獲得できます。
VCSチームは、個人部門を終え、Xiaomi 13 Pro電話、QNAP TS 464ストレージシステム、Canon imageClass MF753Cdwプリンター、Sonos Era 100スピーカーへの攻撃に成功し、20ポイントを獲得しました。対戦相手のSea Securityは、すべての個人部門と複合部門を完了した後、わずか17.25ポイントしか獲得しなかったため、優勝はほぼ確実でした。
競争のプレッシャーはもはやそれほど大きくありませんが、最終カテゴリーは VCS エンジニアたちを悩ませています。昨年、このグループがチャンピオンシップを逃した理由は、マッシュアップ ラウンドでのポイント不足だったからです。 「今回はスマッシュアップ部門に出場しましたが、次のラウンドの抽選では引き続き不利な状況です。前のチームと同じ穴を開けてしまった場合、減点の対象となります」とゴ・アン・フイ氏は語った。このような重複エラーにより、VCS は昨年の Pwn2Own で 1 位のチームより 2.5 ポイント遅れをとることになりました。
「今年は新たな脆弱性を悪用するだけでなく、発見が非常に困難で他のチームと重複しにくい脆弱性、あるいは発見は容易だが悪用が難しい脆弱性を意図的に選び、さらに多くのバックアッププランも用意しました。これは、チーム全体で3ヶ月間集中的に調査した結果です」とフイ氏は述べた。
その結果、VCSチームは複合部門で10/10ポイントを獲得し、合計スコア30で総合優勝を果たし、次点を12.5ポイント上回り、見事に完全勝利を収めました。
「Pwn2Own に参加したのは、厳格なテストプロセスを備えた大手メーカーの、世界で最も人気のあるデバイスを使ったコンテストだからです」と、VCS のディレクターである Nguyen Son Hai 氏は語りました。 「専門の研究チームに投資し、国際的な舞台で競争することは、VCSの人材育成の取り組みの一環です。」
VCS チームの Pwn2Own 2023 チャンピオンシップへの道のりは、長い旅路の成果であり、遺産であり、情報セキュリティ分野における Viettel グループのリーダーたちの何年も前のビジョンの鮮明な実証です。
10年以上前、VCSディレクターのグエン・ソン・ハイ氏がまだPwn2Own 2023チャンピオンシップチームのメンバーと同じ年齢だった頃、Viettelグループのリーダーたちは情報セキュリティ分野への投資を決意していました。
すぐに、新しい畑の最初の種が植えられ、Viettel によって体系的かつ戦略的な方法で管理されました。
VCS の徹底的な研究の旅は、創立当初、情報セキュリティに取り組んでいたのはわずか 6 人だった頃に始まりました。 2011年以来、VCSチームはセキュリティ上の問題を実証するために、Viettelグループ内の部門で模擬攻撃を実施してきました。
「Viettelは重要なインフラを運用しているため、ネットワークセキュリティを柱とする研究ビジョンを持っています」とソンハイ氏は語った。サイバーセキュリティにおいて、最も重要な要素は人です。たとえ世界最高の製品を使用していても、エンドユーザーとしてのみ攻撃を受けるリスクは依然として非常に高く、モバイルやインターネットといったViettelの重要インフラは、世界最大級のグループによる攻撃の標的となっています。
VCSは、重要インフラを守る専門家チームを編成し、世界水準の能力を持つサイバーセキュリティ人材の育成を目指します。ハイ氏は、2015年以来、ViettelとVCSは450人の学生を訓練し、そのうち最も適した人材の5％が引き続き就業するために採用されたと述べた。
「専門家チームを編成し、徹底的な研究に投資した後、VCSの専門家チームの攻撃スキルを向上させるための投資方法を模索し続けています。世界レベルの大会への参加もこの目的のためです」とグエン・ソン・ハイ氏は述べた。
2013 年、VCS は、未知でパッチも適用されていないため最も費用がかさむゼロデイ脆弱性の調査を開始し、Anh Huy 氏と Hong Quang 氏はその最初の専門家の 2 人でした。 2015 年までに、VCS チームは最初の脆弱性を発見し、現在までに VCS によって発見された脆弱性の数は 400 件に達しています。
「ベトナムの企業でこれほどの数字に達した例はなく、世界でもそう多くはない」とハイ氏は述べた。
徹底的な調査を通じて学ぶ機会があるからこそ、VCS は、最近 Pwn2Own で 1 位を獲得したサイバーセキュリティ専門家にとって非常に魅力的な職場なのです。ヴィエテルを選んだ理由を問われると、アン・フイ氏は「私の経験から言うと、サイバーセキュリティの研究や研究グループに長期投資する意思のある企業は多くありません」と答えた。
「特にサイバーセキュリティの分野では、人的要因が最も重要です。そのため、VCSは常にトレーニング、チームの改善、そして国際的な問題に常に対応できる次世代の優秀なスタッフの育成に注力しています」と、VCSのグエン・ソン・ハイ所長は強調しました。
コンテストに参加したチームメンバーを称え、祝福する式典で、Viettelグループの会長兼総裁であるタオ・ドゥック・タン氏は、Viettelの「ホワイトハットハッカー」に対する誇りを表明した。同氏は次のように断言した。「ベトテルは、VCSグループが大規模な研究開発部門を持つ世界有数の機器メーカーと『競争』し、世界的なサイバーセキュリティの分野で権威ある賞を受賞したことを誇りに思う。」
Viettelグループのトップは、「Pwn2Ownは、どんなハッカーにとっても非常に難易度の高い、権威あるコンテストです。このコンテストは、世界トップクラスの情報セキュリティチームを擁し、最後の瞬間までハッカーに対応する準備ができているメーカーとの『戦い』に例えられます。年齢制限はなく、多国籍でプレイすることも可能です…」と評価しました。そのため、タオ・ドゥック・タン氏は「Pwn2Own 2023チャンピオンシップは、Viettelとベトナムを国際舞台で有名にしました」と同グループの会長は誇らしげに語った。
タオ・ドゥック・タン会長はまた、サイバーセキュリティの分野は広大であり、ベトテルの専門家にとっては長い道のりであり、多くの課題が待ち受けていることを認めた。
「トップ1の地位を維持するのは容易なことではない。だからこそ我々はさらに努力を続け、大きな夢を持ち、常に夢を現実に変えてベトナムを世界に広めたいと願う必要がある」とタオ・ドゥック・タン氏は強調した。
Viettelグループの会長はまた、今後、同グループは優秀な人材を育成するための具体的な方針を策定し、彼らが自信を持って仕事に専念し続けられるようにしていくと語った。
VCS にこの任務を委ねたタオ・ドゥック・タン氏は、VCS はさらに多くのセキュリティ専門家の育成を継続する必要があり、企業だけでなく国家に貢献し、サイバー空間で国家を守れるよう、最高の基盤を備えた次世代を育成することを決意していることを強調しました。
コメント (0)