ハッカー女子高生は平穏に過ごしたい

第7話 ー生徒会アカウント乗っ取りー ③

　ホームルーム。
　情報科の担任は、いつもより固い表情で教壇に立った。
「はい、おはようございます」
　返事はまばらだ。
「……まず、昨日の生徒会アカウントの件から話します」
　教室の空気が張り詰める。
「昨夜、生徒会公式アカウントから、不安を煽るような内容の投稿が行われました。今は削除されて、お詫びの文章が出ています」
　ざわ、とどよめきが走る。
「現時点でわかっているのは、『生徒会執行部が意図して投稿したものではない』ということです。これは、アカウントが不正に利用された可能性が高いと考えています」
（やっぱり……）
　真白は机の下で拳を握りしめた。
「誰が、どこから、どうやってアクセスしたのか。学校としても、外部の専門機関と連携して調査を進めています。なので、今はまだ噂話を信じないこと。根拠のない憶測を広めたり、スクリーンショットを面白がって拡散したりしないように」
「それから……もし、似たようなことを“いたずら”でやってみようなんて考えている人がいたら、全力で止めます。これはいたずらでは済みません。相手が学校でも、ちゃんと責任を取らされるレベルの話です」
「……以上が、今言えることです。質問は？」
　誰も手を挙げなかった。
　空気だけがざわざわと落ち着かないまま、ホームルームは終わった。

　先生が教室を出ていくと、すぐに小さな声があちこちで交わされ始める。
「やっぱ乗っ取りなんだ」
「専門機関って、警察とか？」
「犯人、捕まるのかな……」
　真白は席を立ち、廊下に出た。すぐ後ろから、恋の足音がついてくる。
「どこ行くの？」
「……ちょっと、廊下の空気、吸ってくる」
　本当は、生徒会長の顔を見たかった。
　廊下を曲がったところで、ちょうど向こう側から生徒会長が歩いてくるところだった。
　きちんと制服を整え、背筋も伸びている。表情もできるだけ平静を装っているが、目の下にはうっすらとクマがある。
「……柏加さん」
　目が合うと、生徒会長が足を止めた。
「あの、昨日の投稿、見た？」
「スクショだけ、ですが」
「そっか。ごめんね、不安にさせて」
　謝られる筋合いなんてないのに、と真白は思う。
「生徒会で、今朝バタバタしながらお詫び出したんだけど……。先生たちと話して、運用も見直すって決めた。昨日、柏加さんが言ってくれたことも、ちゃんと共有してる」
「そう、ですか」
「本当は、全部が片付いてから話そうと思ってた。でも……」
　生徒会長は、ほんの少しだけ声を落とした。
「今日の放課後、時間もらえないかな。先生も一緒に、生徒会室で。正式に、相談したいことがある」
　その「相談」が何を指すのか、真白にはだいたい想像がついた。
「……私で、役に立てるなら」
　口が勝手にそう答えていた。
「ありがとう。本当に、全部を背負わせるつもりはないから」
「それは、私が監視しますので」
　いつの間にか背後に来ていた恋が、ひょこっと顔を出した。
「放課後、生徒会室ですよね？　私も一緒に行っていいですか」
「もちろん。むしろいてほしい」
　生徒会長が笑う。
　その笑顔は、昨日の朝と同じ形をしていたけれど、その奥に張り詰めたものがあることを、真白は敏感に感じ取っていた。
　廊下を抜けていく風に、夏の名残と、かすかな緊張の匂いが混じる。
　放課後の生徒会室で、自分がどんな「ログ」と向き合うことになるのか。
　真白はまだ知らない。
　ただ一つ——昨夜の「不都合な真実」というタイトルが、単なる悪ふざけでは終わらないことだけは、はっきりとわかっていた。

放課後の生徒会室は、いつもの昼休みのざわざわとは違う、押し殺した静けさに包まれていた。
　窓の外では、まだ強い夕陽が校舎の壁を赤く染めている。けれど部屋の中の空気だけが、少し冷たく感じられた。
　長机の片側に、生徒会長と広報担当の三年生。反対側に、情報科の担任と、真白と恋。
　テーブルの真ん中には、生徒会室のノートパソコンが一台。その隣に、先生が持ってきた学校用のタブレットが置かれている。
「集まってくれてありがとう」
　最初に口を開いたのは、担任だった。
「朝ホームルームで話した通り、生徒会のアカウントが不正に使われた可能性が高い。学校としては、外部の専門機関に正式に調査を依頼している。それとは別に——というか、その前段階として、“何が起きたのか”を整理したい」
　先生はそう言って、生徒会室のパソコンを軽く叩く。
「ログや設定画面の見方については、俺より柏加のほうが詳しい。だけど、ここで柏加に“全責任を預ける”つもりはない。あくまで、一緒に見る。一緒に考える。それが前提だ」
　真白は、黙ってうなずいた。
　視線の先では、生徒会長がぎゅっと手を組んでいる。胸の前で組んだ指先が、かすかに震えていた。
「……ごめんなさい。私たちの管理が甘かったせいで」
「謝るのはあとでまとめてでいいよ」
　先生が首を振る。
「今、一番大事なのは、“何が起きたか”をちゃんと把握すること。それができないと、責任を取るにも、対策を打つにも、何も始まらないからな」
　その言葉に、生徒会長は小さく「はい」と答えた。
　恋が、真白の肘をつつく。
「真白。顔こわばってる」
「……緊張してるだけ」
「知ってる。でも、真白は“守る側”でここにいるからね。攻撃する人じゃない」
　恋はわざと少し大きめの声でそう言った。
　先生と生徒会長も、その言葉にうなずく。
　——守る側。
　そう意識すると、心臓の高鳴りが、ほんの少しだけ落ち着いた気がした。

「じゃあ、まずはアカウントのログイン履歴を確認しようか」
　先生がパソコンの前に座り、ブラウザでSNSの管理画面を開く。
　画面には、「セキュリティ」や「ログインとセッション」といった項目が並んでいた。
「こういうの、正直あんまりちゃんと見たことなかったなぁ……」
　広報担当の先輩が、後ろからのぞき込みながら呟く。
「普通のユーザーは、そんなに見ないと思います」
　真白が静かに答えた。
「でも、“公式アカウントを運営する側”は、ここを確認できるようにしておいたほうがいいです。『何かあった時に、何が起きたか』の手がかりになるので」
「だよね……」
　先生が、「ログイン履歴」のタブをクリックする。
　画面に、時刻とIPアドレス、利用した端末やブラウザの情報が一覧で表示された。
「昨夜の三時七分前後を探してみて」
　真白が、少し前のめりになって言う。
　先生がスクロールバーを慎重に動かしていくと、「３：０５」「３：０６」「３：０７」と並んだログが見つかった。
「……ここだな」
　先生が指差した行を、真白が目で追う。
　ユーザーエージェントの欄には、「APIクライアント」と書かれていた。普通のブラウザではなく、「連携アプリ」からのアクセスを表す表示だ。
「これ、ブラウザじゃないですね」
「やっぱり、アプリ経由か……」
　先生が眉をひそめる。
「それと、このIPアドレス……」
　真白は、メモ帳アプリを開いて、数字を素早く書き写した。
　頭の片隅に、別の事件のログが浮かび上がる。ミラーノ社のクラウドサービスで見た、あの海外レンタルサーバのIP帯。
（……似てる）
　嫌な汗が背中を伝った。
　完全に同じ数字の並びではない。けれど、頭の中で、ネットワークの地図が自動的に描かれていく。国やプロバイダが近い場所にあることを示す記号たち。
「先生、このIP、あとで照会してもらえますか」
「照会？」
「はい。正確な住所まではいらないので、『どこの国の、どんなプロバイダのレンタルサーバか』くらいがわかれば……。ミラーノ——じゃなくて、その、以前のトラブルの時に見たものと、同じ“場所”かどうか、気になるので」
　言いかけて、慌てて言い直す。前の事件のことを、あまり詳しく口にするわけにはいかない。
　先生はそれ以上突っ込まず、「わかった」とうなずいた。
「外部の専門機関に渡すログのリストに入れておく。とりあえず、今はこっちの画面を見ておこうか」
　先生は、画面上部の「連携しているアプリ」というリンクをクリックする。
　SNSの設定画面が切り替わり、「このアカウントにアクセスできるアプリ」の一覧が表示された。
　真白は、息をひそめて一つ一つの名前を追った。
「公式クライアント」「画像編集アプリ」「学校ポータルとの連携」——見覚えのあるサービスが並ぶ中に、一つだけ違和感のある名前が紛れ込んでいた。
「……“SCHOOL INSIGHT”？」
　恋が、それを声に出す。
「そんなアプリ、入れた覚え、ありますか」
　真白が生徒会長たちを見ると、二人とも一瞬、表情をこわばらせた。
「それ、多分……」
　先に口を開いたのは広報担当の先輩だった。
「この前、私が……。アカウントの分析ツールを探してて、フォロワー数とか反応をグラフにしてくれるって書いてあったから。無料だし、便利そうだなって」
　先輩は唇を噛む。
「『公式アカウント向け』って書いてあったんだ。だから、ちゃんとしたやつだと思って……。アカウントと連携する時に、ログイン画面が出てきて、それにIDとパスワード入れて……」
「その時、二段階認証のコードも求められましたか」
　真白の問いに、先輩は「うん」とうなずいた。
「『セキュリティのため』って書いてあって。で、共通メールにコードが届いたから、それを入力して……」
「そのメール、今も残ってますか」
「えっと……多分、どこかのフォルダーに」
「探してみましょう」
　真白は、生徒会室のパソコンのメーラーを開いてもらった。
　受信トレイには、学校や先生からの連絡が大量に並んでいる。
「件名で検索してみると、早いかも」
　先生が「二段階認証」とサービス名を入力して検索すると、関連するメールがずらりと表示された——はず、だった。
　だが、画面には「０件」とだけ出ている。
「あれ？」
　広報の先輩が首をかしげる。
「そんなはずないんだけど。確かに届いて……」
「……フィルタで、どこかに振り分けられているのかもしれません」
　真白が、小さく呟く。
「フィルタ？」
「はい。『特定の件名のメールを、自動的に別のフォルダーに入れる設定』です。過去に、誰かが整理しようとしてルールを作ったのかもしれなくて……。確認してみてもいいですか」
　先生が「設定」の中の「フィルタと振り分け」の項目を開く。
　そこには、いくつかのルールが並んでいた。
『件名に「通知」が含まれるメールを「お知らせ」フォルダーへ』
『送信元が先生のアドレスの場合、「先生」フォルダーへ』
　その中に、一つだけ、最近追加されたばかりのルールがあった。
『件名に「二段階認証コード」が含まれるメールを「システム」フォルダーへ』
「……これだ」
　先生が息を飲む。
　追加日付は、数日前。ちょうど、その分析アプリを連携したという日付と一致していた。
「こんなの、作った覚えないよ……」
　広報の先輩がかすれた声で言う。
　真白は、「システム」フォルダーを開いてもらった。
　そこには、見落とされていた二段階認証コードのメールが、ずらりと並んでいた。
　真白は、深夜三時前後のログと突き合わせるように、受信日時を見ていく。
「……ここ。二十三時過ぎにも一通。日付が変わって、二時五十分、二時五十三分、三時一分……」
　画面のスクロールバーを動かしながら、真白は指で時間を追った。
「連続してコードが発行されています。何度もログイン試行がされていて、そのたびにコードが発行されて……最後に三時ちょうどのメールで認証に成功した」
「そんな……」
　生徒会長の声が震える。
「誰も、見てないのに」
「見えないように、してあったからです」
　真白は、なるべく淡々とした声で言った。
「このフィルタは、多分、攻撃者側が作ったんだと思います。メールの管理画面にログインできれば、ここからフィルタを追加して、二段階認証のメールを別のフォルダーに隠すことができます」
「え、そんなことできるの」
　恋が目を丸くする。
「……うん。だから、本当はメールのアカウント自体も、もっと厳重にしないといけないんだけど」
　真白はそこで一度言葉を切り、息を整えた。
「大事なのは、『コードのメールが届いた時に、“すぐに気づけるようにしておくこと”』です。今の設定だと、誰も気づけない場所に隠されてしまっていた」
　先生は黙って画面を見つめていたが、やがて静かに口を開いた。
「つまり——こういうことか？」
　先生は、指で机の上にざっくりと図を描く。
「一、何者かが共通メールにアクセスできるようにする」
「二、そのメールに届く二段階認証コードを、見えにくいフォルダーに振り分ける」
「三、生徒会アカウントにログインしようとするたび、そのコードを使って突破する」
「……はい。可能性としては、高いと思います」
　真白がうなずく。
「そして、その後に『連携アプリ』をつないで、ブラウザではなくアプリ経由で投稿できるようにしている。さっき見つかった“SCHOOL INSIGHT”が、その役割を果たしている可能性があります」
　広報の先輩が、顔を青ざめさせた。
「私が、連携許可してしまったから……？」
「先輩のせいじゃないです」
　真白は、即座に首を振った。
「“便利そうに見えるツール”を使わせようとするのは、よくあるやり方です。見た目も説明もちゃんとしてるように見えたら、信じてしまうのは自然です。だから、本当は、その前に『これは安全かどうか』を確認する体制が必要で……」
　言いながら、胸の奥が痛んだ。
　——本当は、自分がここに来る前に、誰かがそれを教えてあげられていたら。
　そんな「もしも」を考えてしまう。
　恋が、そっと真白の袖をつまんだ。
「今、わかったことだけでも、大きいよ。『何が起きたか』って、さっき先生も言ってた」
　恋の声は、真白の考えを追いかけるように優しかった。