その著作権管理ソフトは「番人」として生み出された。ユーザーのパソコンに潜み、アーティストの著作権を守る…しかし、屈強な番人の隠れ蓑は、悪党にも好都合な道具となってしまった。米ソニーBMGミュージックエンターテイメント（以下ソニーBMG）が一部音楽CDに導入した著作権管理ソフト「XCP」、これを悪用したウイルスが確認されたのである。
音楽CDとウイルス、一見なんの接点もないように見える両者だが、まずは次のニュースをチェックしてほしい。
・SONY BMGの著作権管理ソフトを悪用したウイルス、各社が警告(2005/11/14)
●何が音楽CDに入っていたのか？～ 開かれたセキュリティホール
「XCP」とはいわゆるコピー防止プログラムで、XCPが収録された音楽CDをWindowsパソコンで再生すると自動的にインストールされる。このXCPに対する懸念をいち早く表明したのは、Windowsの開発者や管理者向けツールを開発しているMark Russinovich（マーク・ルシノビッチ）氏だった。彼は10月31日、自身のブログで「ソニーBMGのCDに rootkit（ルートキット）が組み込まれている」と指摘している。
rootkitとは、マルウェアが侵入先のコンピューターで悪事を働くためのプログラムの総称で、その機能のひとつに、システムから自分を隠蔽する機能（クローキング）がある。具体的には「$sys$」で始まるファイルを作ると、ファイルも実行プロセスもレジストリも、Windowsのシステムから見えなくなってしまう。
ウイルスなど悪意のあるプログラムも「$sys$」で始まるファイル名にすれば、XCPがインストールされたパソコンに潜ませることができてしまうわけだ。 さらにXCPにはアンインストールの方法がない上に、関連するファイルやレジストリを手動で削除するとCDドライブが動作しなくなることが確認された。
●迷走した対策とウイルス出現 ～ マイクロソフトも削除を決定
ソニーBMGは11月２日、自社のホームページからXCPのセキュリティ問題修正用のパッチをダウンロードできるようにしたが、このパッチは「ファイルを隠す機能」は停止してもインストールされたファイルの削除はできなかった。この時点でソニーBMGは、XCPにファイル隠蔽機能を盛り込んでいたことについて、悪意はなく、セキュリティを侵害するものでもないとして、削除ツールを用意しなかったのである。
前出のマーク氏は、修正用パッチは大容量で重い上に一部のパソコンをクラッシュさせる恐れがあると指摘。ソニーBMGは11月８日、軽量化した修正版パッチに差し替えたが、この新パッチにもXCPを削除する機能はなかった。
削除ツールを用意できないまま迎えた11月10日、XCPを悪用するトロイの木馬ウイルスが出現した。このウイルスは「Backdoor.Ryknos」（シマンテック）等という名称で呼ばれ、たちまち亜種も登場した。セキュリティベンダー各社は次々にXCPの検索ツールをリリース。マイクロソフトも11月17日、ベータ版２種で対応すると発表。さらに12月より公開中の「悪意あるソフトウェアの削除ツール」新版でも削除対象とすると発表した。
・マイクロソフト「悪意あるソフトウェアの削除ツール」新版
http://www.microsoft.com/japan/security/malwareremove/default.mspx
●XCP削除ツールの配布と中止、そして製品の製造中止・回収へ
ウイルスが出現した11月10日、ソニーBMGは自社サイトでXCP削除ツールを公開している。ユーザーはサイトに設置されたフォームに必要事項を入力すれば削除ツールを入手できる仕組みだった。しかし、この削除ツールに深刻なセキュリティホールが存在することが14日に発見された。
このツールをダウンロードしたパソコンは、ネット上のウェブサイトから無差別にプログラムをダウンロードするようになってしまうという。米国コンピューター緊急事態対応チーム(US-CERT)もこの問題を指摘し、悪用するサイトの出現を警告した。ソニーBMGは翌15日に削除ツールの配布を停止したが、明けて16日、このセキュリティホールを悪用する２つのサイトが発見された。
こうした目まぐるしい迷走のなか、ソニーBMGは11月10日にXCPが組み込まれた音楽CDの製造の一時的停止を、15日には回収・交換を発表。17日からXCPを含む音楽CDの回収と交換を開始した。数日遅れで日本でも、ソニーBMGのタイトルを輸入販売している２社がCDの回収と交換を表明し、両社とも特約店に対しては販売中止と店頭在庫の回収を依頼。これを受け、Amazon.co.jpを運営するアマゾンジャパンが11月22日、タワーレコードが同25日に、商品代金を全額返還すると発表している。
・米ソニーBMGの「XCP」採用CD、日本でも輸入版を回収・交換（2005/11/25）
●修正版削除ツールの配布 ～ ユーザーに委ねられた選択
12月５日、ソニーBMGはようやくすべての問題点を修正した削除ツールを公表した。新しい削除ツールは、ソニーBMGのサイトからダウンロードできる。
・SOFTWARE UPDATES/UNINSTALLER［英文］（SONY BMG）
http://cp.sonybmg.com/xcp/english/updates.html
新しい削除ツールでは、rootkit機能だけを削除することも、XCPすべてを削除することもできる。ただし、すべてを削除した場合、コピー保護CDを再生するにはCDの使用許諾に基づき、XCPの再インストールが必要となる。また、この削除ツールでは初回の削除ツールで問題となったActiveXの削除も行う。ソニーBMGはこの削除ツールを提供することで、rootkit入りCDを購入しインストールしてしまった顧客にその処理方法の選択を委ねた。
＊ ＊ ＊
コピープロテクトは、システムの中枢に近いところできわどい動きをすることがある。また、ユーザーにとってソフトウェアをインストールするということは程度の差こそあれ、システムをクラッシュさせたり不安定にさせたりするリスクを負うことになる。著作権の保護のために消費者に求めてよい協力の範囲について、今後さらに模索する必要を感じさせる一件である。
(執筆：現代フォーラム 山口)