ハッカー女子高生は平穏に過ごしたい

第4話 ー文化祭サイトの呪いー ④

　放課後の準備が一段落したころには、窓の外の雨は、ほとんど土砂降りに近くなっていた。
　段ボールの壁もとりあえずの形ができて、ペンキのフタも閉められる。クラスメイトたちが「続きは明日なー」と言い合いながらそれぞれ帰り支度を始めたところで、真白は恋と目を合わせた。
「……今、行こうか」
「うん」
　互いにうなずくと、ふたりは教室の後ろの扉から廊下に出た。担任の先生は、職員室に戻るための荷物をまとめている途中で、廊下の掲示物をぼんやり眺めていた。
「先生、ちょっといいですか」
　真白が声をかけると、先生は振り向いた。
「お、柏加と木下か。準備お疲れさん。どうした？」
　恋が一歩前に出て、わざと明るい声を出す。
「あの、文化祭サイトの件で……ちょっと“変なもの”を見つけちゃって」
「変なもの？」
　先生の眉がわずかに動く。
「朝のホームルームで見せてもらった“呪いのメッセージ”とは、別の場所です。今はリンクからは飛べないんですけど、URLを直接指定したら、クラス企画のページにまだ変な文章が残ってて」
　真白は、スマホの画面を先生に向けた。さっき恋と一緒に確認した、二年C組のページの簡素なテキストビュー。
『二年C組　廃屋風お化け屋敷』
『ここから逃げられると思うな。真実は、影の中にある。』
　先生は数秒間、無言で画面を見つめていた。
「……これ、さっきのトップページのやつとは、また別だよな？」
「はい。メンテナンス画面の裏側というか、普通にリンクを辿るだけでは見えない場所です。でも、URLの末尾に“?class=2C”って付けると……こうやって見えてしまって」
「2A、2Bのページも見てみましたけど、どこも似たような“意味深な文章”が書かれてました」
　恋が続ける。「“全部呪われてる”とか、“笑顔の裏側”とか、そんな感じで」
　先生は「うーん」と唸ってから、頭をかいた。
「……これは、情報科主任の先生にもすぐ見せたほうがいいな。ちょうど今、コンピュータ室の方でログのチェックしてるはずだ。行けるか？」
「行きます」
　真白は即答した。恋も「もちろん」と隣でうなずく。
　情報科準備室は、夕方でも白々と明るかった。
　壁際にはタワー型PCがずらりと並び、机の上にはノートPCや配線用のケーブルが雑然と置かれている。窓の外の雨音が遠くに聞こえるだけで、室内は静かだ。
　その中央の机で、情報科主任の先生がモニタとにらめっこしていた。眼鏡の奥の目が、コマ送りのようにログビューアを追っている。
「失礼します」
　担任が声をかけると、主任は軽く振り向いた。
「お、文化祭サイトの件ですね？」
「そうそう。……で、うちのクラスでその文化祭サイト担当の柏加と木下が、“ちょっと気になるもの”を見つけたそうで」
「担当ってほどじゃないですけど」
　真白が慌てて否定しかけると、主任は口元だけで笑った。
「君たちの名前は、ほかの先生からも聞いてるよ。前の“匿名アカウント”の件でも活躍したらしいじゃないか」
「それは……たまたまです」
　本気でそう思っているからこその返答だったが、主任はそれ以上突っ込まず、本題に戻った。
「それで、気になるものとは？」
「クラス企画のページです」
　真白は、先ほど担任に見せた画面を、主任にも見えるように差し出した。主任は眼鏡を指で直しながら、文字を追っていく。
「URLにパラメータを付けると、まだこういう文章にアクセスできる状態です。表向きはメンテナンス中になってますけど……」
「ふむ……」
　主任は机の上のノートPCをこちら向きに回すと、キーボードを叩き始めた。学校の内部ネットワークから文化祭サイトにアクセスし、管理画面にログインする。
　真白は、その手元の動きをじっと見つめていた。
「確かに、一般公開用のルーティングはメンテナンスページに飛ぶようにしてあるんだけど……パラメータ付きの直アクセスまでは塞いでいなかったかもしれんな」
　主任は苦笑混じりに言う。
「こちらの落ち度でもある。気づかせてくれて助かった」
「いえ……」
　褒められたことに対する照れと、それとは別の“引っかかり”が同時に胸に残った。
（今の反応……“あくまで設定漏れ”として片付けようとしている？）
　もちろん、自分が勘ぐりすぎなのかもしれない。それでも、朝からずっと胸の奥に溜まっていた違和感が、じわじわと膨らんでいく。
　主任は画面を切り替え、管理コンソールの「ログ」メニューを開いた。
「今、誰がどこからアクセスしたかの履歴を見ていてね。さっきのトップページの改ざんも、ここから辿れるはずなんだが……」
　そこまで言って、主任の指が止まった。
「……あれ？」
「どうかしました？」
　真白は思わず口を挟んだ。
「いや、ログが……途中から、やけに“きれい”でね」
　主任は視線だけでモニタの一角を指した。
　画面には、アクセス日時とIPアドレス、ログインIDなどが一覧で表示されている。ごく普通の管理画面のログ表示だ。
　六月九日、十日、十一日──と、行がスクロールされていく中で、ある場所から急にパターンが変わっているのが真白の目にもはっきりわかった。
「そこから、同じIPばっかりですね」
　真白が指摘すると、主任は驚いたようにこちらを振り向いた。
「お、よく見てるね。その通り。ここ、六月十一日の深夜から、同じIPアドレスからのアクセスが続いている。しかも、全部“ログイン失敗”だ」
「……ログイン失敗？」
　画面上部のフィルタを少し変えると、「admin」「teacher」「guest」といったユーザー名でパスワードを試みた記録が次々に現れた。
「ユーザー名を変えながら、パスワードだけ延々と試してる。いわゆるブルートフォース、総当たり攻撃に近いな」
　主任は淡々と言ったが、真白の喉はカラカラに乾いていた。
（やっぱり……）
　嫌な予感が、具体的な形を持ち始める。
「で、そのまま翌日の午前三時くらいまで失敗が続いてるんだが──」
　スクロールを進めた主任の指が、ある行でぴたりと止まる。
「ここから、“ログイン成功”になっている」
「……」
　その一行は、他の行と同じフォント・同じ色で、ひっそりと紛れ込んでいた。ただ、一度気づいてしまえば、その存在感は異様なほど重い。
　六月十二日　03:14:02
　IPアドレス：xxx.xxx.xxx.xxx
　ユーザー名：admin
　結果：ログイン成功
「このログインのあとに、トップページの編集履歴が残ってる。例の“呪いのメッセージ”に書き換えられたのも、このタイミングだ」
　主任は別のタブを開いて編集履歴を表示した。そこには、午前三時台にトップページのテキストが更新された記録が、確かに残っている。
「……“関係者の誤操作”では、なさそうですね」
　真白の声は、自分でも驚くほど冷静だった。
「少なくとも、“午前三時に職員室のPCから、誰かがうっかり書き換えちゃいました”って話じゃないことだけは確かだと思います」
「そうだな」
　主任も、あっさりとそれを認めた。
「このIPアドレス、学校のネットワークには属していない。外部のプロバイダのものだ。つまり、“外からの不正アクセスの可能性は低い”どころか、ほぼ外部からの攻撃だと見ていい」
「じゃあ、さっきのお知らせは……」
　隣で聞いていた担任が、気まずそうに頭をかいた。
「完全に勇み足だったな。“内部のいたずら”で済めば楽だなー、くらいの気持ちで……」
「先生のせいじゃありません」
　真白はすぐに言った。
「ログを見る前に判断するのは、誰だって間違えます。でも──」
　そこで、言葉が少し尖った。
「ログを見る前に“決めつけてしまう”のは、よくないと思います」
　主任が興味深そうに真白を見た。担任は「刺さるなぁ」と苦笑いした。
「その通りだ。技術者としても、教育者としても、反省だな」
　主任は椅子の背にもたれ、深く息を吐いた。
「問題はこの先だ。この攻撃者が、どこまで入り込んでいるか。今のところ、改ざんされたのはトップページとクラス企画のテキストだけに見えるが……」
「ログ、変じゃないですか？」
　真白は、画面のスクロールバーに目をやった。
「さっき“きれいすぎる”って言ってましたよね。全部、同じIPからの失敗と成功の記録ばかりで」
「そうなんだよ」
　主任は「よく気づいたな」と小さく笑い、別のウィンドウを開いた。
「本来ならもっと雑多なアクセスログが混ざっているはずなんだ。先生方がログインした記録や、実行委員がページを更新した記録とかね。でも、この画面上では、六月十一日以降は、このIPからのログばかりになってしまっている」
「つまり……」
　恋が、おそるおそる口を挟む。
「“攻撃されたログ”しか見えないってことですか？」
「そういうことになる」
　主任はうなずいた。
「厳密には、これはCMSが持っている“アプリケーションログ”で、ウェブサーバー側の“生ログ”は別にある。ただ、こっちは誰かに削られたか、フィルタをかけられた形跡があるな」
　画面の端には、小さなメッセージが表示されていた。
『ログの最大保存件数に達したため、古いログから順に削除されました』
「これ、わざと残したんじゃないですか」
　気づけば、真白の声は少しだけ低くなっていた。
「攻撃者が、あえて自分のログだけが残るように、失敗ログを大量に投げ続けた。そうすれば、それ以前の正常なログは、この“最大保存件数”に押し出されて消えてしまう」
　主任も、静かに頷いた。
「可能性は高いな。ログを捨てるための“ログ攻撃”か……。生ログの方がまだ残っていることを祈るしかない」
「……」
　真白は、拳をぎゅっと握りしめた。
（ここまで考えて動いている相手が、“ただの悪ふざけ”なわけがない）
「それと、もうひとつ」
　真白は、画面の下部にある“システム情報”欄を指さした。
「CMSのバージョン、1.3.2のままですよね。たぶん今、公式は2系まで出てます。去年、大きめの脆弱性が見つかってたはずで……」
「ああ、それは俺も記事で読んだ」
　主任は苦い顔をした。
「けど、文化祭用の一時的なサイトだし、“まあ大丈夫だろう”と後回しにしていた。そこを突かれた可能性は十分にあるな」
「IDとパスワードも、“共通ID＋クラスごとのパスワード”で、紙で配布してました」
　真白は、鞄から折りたたんだプリントを取り出した。
「生徒全員に配られるものとしては、少し危ういと思います。クラス用のアカウントは“編集だけ”に絞って、管理権限のアカウントは別にするべきでした」
　言いながら、自分の声にわずかな震えを感じた。
　それが単なる緊張ではないことを、真白自身が一番よくわかっている。胸の奥から湧き上がってくるのは、恐怖と一緒に膨らむ、どうしようもない怒りだった。
「楽しみにしてた文化祭のサイトを、こんなふうに“実験台”みたいに扱われて……」
　思わず零れ落ちた言葉に、主任と担任が同時にこちらを見た。
「“CMSが古かったからやられました”って、それだけで片付けたくないです。ちゃんと直して、二度と同じことが起きないようにしてほしいです」
「真白……」
　隣で恋が、そっと袖をつまんだ。止めるでもなく、ただそこにいるという合図のように。
　主任はしばらく黙っていたが、やがて、小さくうなずいた。
「正論だ」
　短く、それだけ言った。
「耳が痛いが、全部その通りだよ。……ありがとう。怒ってくれて」
「え？」
　予想外の返事に、真白は目を瞬いた。
「“なんでこんな危ない運用してるんですか”って、誰も言わなかったからなぁ。俺も、“まあ高校の文化祭サイトだし”って、どこかで油断していた」
　主任は自嘲気味に笑い、椅子に座り直した。