2008年8月初旬、今からちょうど15年前、ラスベガスで開催されたハッカー会議「デフコン」は、その歴史上最悪のスキャンダルの一つに見舞われました。MITの学生グループが、ボストンの地下鉄（マサチューセッツ湾交通局）を無料で利用できる方法を発見したという講演を会議で予定していた直前、マサチューセッツ湾交通局（MBTA）が彼らを提訴し、講演禁止命令を取得しました。講演は中止されましたが、その前にハッカーたちのスライドが会議参加者に広く配布され、オンラインで公開されていました。
2021年の夏、15歳のマティ・ハリスとザカリー・ベルトッキはボストンの地下鉄に乗っていた。ハリスはベルトッキに、ハッカーの歴史におけるこの瞬間について触れたウィキペディアの記事を読んだと話した。ボストンのメドフォード職業技術高校に通う2人は、MITのハッカーたちのやり方を自分たちでも再現できるだろうか、ひょっとしたら地下鉄を無料で利用できるかもしれない、と思案し始めた。
彼らは、それは不可能だと考えた。「10年以上も前のことだし、大々的に報道されていたから、きっと解決されているだろうと思っていました」とハリス氏は言う。
ベルトッキ氏は記事の最後まで飛ばしてこう言う。「彼らはそうしなかった。」
ボストン地下鉄ハッカー（左から）スコット・キャンベル（16歳）、ノア・ギブソン（17歳）、マティ・ハリス（17歳）、ザック・ベルトッキ（17歳）。写真：ロジャー・キスビー
そして今、2年間の作業を経て、その2人のティーンエイジャーと2人のハッカー仲間、ノア・ギブソンとスコット・キャンベルは、ラスベガスで開催されたハッカー会議「デフコン」で研究結果を発表しました。実際、彼らはMITのハッカーが2008年に使用したトリックを再現しただけでなく、それをさらに一歩進めていました。2008年のチームは、ボストンのCharle Ticket磁気ストライプ紙カードをハッキングしてコピーし、金額を変更して無料乗車券を入手していましたが、このカードは2021年に使用できなくなりました。そこで4人のティーンエイジャーは、2008年のハッカーチームが行った他の研究を拡張し、MBTAが現在使用しているRFID非接触スマートカードであるCharlieCardを完全にリバースエンジニアリングしました。ハッカーたちは今、これらのカードの1つに任意の金額を追加したり、目に見えない形で割引学生カード、シニアカード、さらには無制限の無料乗車を提供するMBTA従業員カードに指定したりできます。「何でもお申し付けください。私たちはそれを実現します」とキャンベルは言います。
彼らの成果を実証するために、彼らは携帯可能な「自動販売機」を自作しました。タッチスクリーンとRFIDカードセンサーを搭載した小型のデスクトップデバイスで、CharlieCardに好きな金額を追加したり、設定を変更したりできます。また、タップするだけでクレジットを追加できるAndroidアプリにも同じ機能を組み込みました。下の動画で、彼らは両方のトリックを実演しています。
2008年のデフコン地下鉄ハッキング事件とは対照的に、企業や政府機関とサイバーセキュリティコミュニティの関係がいかに進展したかを示すものとして、4人のハッカーはMBTAが訴訟を起こすと脅したり、デフコンでの講演を妨害しようとしたりしなかったと述べている。それどころか、MBTAは今年初めに彼らを交通局本部に招待し、発見した脆弱性に関するプレゼンテーションを行った。その後、MBTAは他のハッカーによる再現を困難にするため、技術の一部を分かりにくくするよう丁重に要請した。
ハッカーらによると、MBTAは発見した脆弱性を実際には修正しておらず、2025年に導入予定の全く新しい地下鉄カードシステムを待っているようだ。WIREDがMBTAに連絡を取ったところ、広報担当のジョー・ペサトゥーロ氏は声明で「MBTAは学生たちが連絡を取り、運賃徴収チームと協力してくれたことを嬉しく思っています」と回答した。
「学生たちが特定した脆弱性は、安全性、システム障害、またはデータ漏洩に影響を及ぼす差し迫ったリスクをもたらすものではないことに留意すべきです」とペサトゥーロ氏は付け加えた。「MBTAの不正検知チームは、この脆弱性に対処するために監視を強化しており、MBTAへの重大な財務的影響は予想していません。新しい運賃徴収システムは、現在のカードベースではなくアカウントベースのシステムとなるため、稼働後はこの脆弱性は存在しません。」
高校生たちは、2021年に研究を始めた当初は、2008年のチームが行ったチャーリーチケットのハッキング研究を再現しようとしただけだったと語っています。しかし、わずか数か月後にMBTAが磁気ストライプカードを段階的に廃止したため、彼らはチャーリーカードの仕組みを理解したいと考えました。数ヶ月にわたり、様々なRFIDリーダーで試行錯誤を重ねた結果、ついにカード内のデータ内容を読み出すことに成功し、解読に着手しました。
クレジットカードやデビットカードは残高がカード自体ではなく外部データベースで追跡されますが、チャーリーカードは実際にはカード自身のメモリに約1キロバイトのデータ（金額を含む）を保存します。この金額が変更されるのを防ぐため、カードのメモリ内の各データ行には「チェックサム」が含まれています。これは、MBTAの非公開アルゴリズムを使用して金額から計算された文字列です。
ハッカーたちは、チャーリーカードに保存された値の変更を防ぐための「チェックサム」計算を再現する方法を見つけ出し、ハッキング対策を回避した。写真：ロジャー・キスビー
ハッカーたちは、異なるカードの同一メモリ行を比較し、そのチェックサム値を調べることで、チェックサム機能の仕組みを解明し始めました。最終的に、カードの金額を変更できるチェックサムと、CharlieCardリーダーがそれを有効と判断するためのチェックサムを計算できるようになりました。彼らは、カードの残高を任意の金額に変更できるよう、あらゆる金額に対して長いチェックサムリストを計算しました。MBTAの要請により、ハッカーたちはその表とチェックサムのリバースエンジニアリング作業の詳細を公開していません。
この画期的な成果を上げて間もなく、昨年12月、ティーンエイジャーたちはボストン・グローブ紙で、別のハッカー、MIT卒業生でペネトレーションテスターのボビー・ラウチ氏が、Androidスマートフォンか携帯型無線ハッキングデバイス「フリッパー・ゼロ」を使ってチャーリーカードを複製する方法を編み出したという記事を読んだ。ラウチ氏によると、この技術を使えば、チャーリーカードの価値を使い切る前にコピーするだけで、実質的に無制限の無料乗車券を手に入れることができるという。しかし、ラウチ氏がこの技術をMBTAに実演したところ、MBTAは複製されたカードが使用された時点でそれを検知し、無効化できると主張した。
今年初め、4人のティーンエイジャーはラウチに、クローン作成にとどまらず、カードのデータをより細かく変更する技術を披露した。年上のハッカーは感銘を受け、訴訟を起こされることなくMBTAに発見を報告する手伝いを申し出た。
ラウチ氏と協力する中で、MBTAは脆弱性開示プログラムを構築し、サイバーセキュリティの脆弱性を発見したハッカーと協力する体制を整えていた。4人の若者たちは、MBTAで開かれた会議に招待され、そこには12人もの幹部が出席した。幹部全員が、発見した脆弱性を共有してくれたことに感謝している様子だったという。MBTA職員は高校生たちに、90日間は発見内容を明かさないこと、チェックサムハッキング手法の詳細は秘密にするよう求めたが、それ以外は結果の発表に干渉しないことを約束した。4人の若者たちは、MBTAの最高情報セキュリティ責任者であるスコット・マーゴリス氏とは特に仕事がしやすかったと語る。「素晴らしい人だ」とベルトッキ氏は言う。
若者たちは、ラウチのクローン技術と同様に、交通局は改ざんされたカードを検知してブロックすることで、彼らの技術に対抗しようとしているようだと述べている。しかし、彼らがチャージしたカードのうち、実際に発見されたのはごく一部に過ぎないと彼らは言う。「彼らが行っている対策は、脆弱性を完全に封じるパッチではありません。むしろ、カードが出てくるたびにモグラ叩きをしているようなものです」とキャンベル氏は言う。
「一部のカードは無効になったこともありますが、ほとんどのカードは問題なく利用できました」とハリス氏は付け加えた。
では、4人全員がチャーリーカードのハッキング技術を使ってボストンの地下鉄を無料で乗り回しているのだろうか？「ノーコメント」
今のところ、ハッカーチームは、MBTAが15年前の訴訟で試みたような強引な検閲を受けずに講演できることに満足している。ハリス氏は、MBTAはハッカーの発見に注目を集めることしかできなかったあの時の対応から教訓を学んだはずだと主張する。「彼らが今、あんなことをしていないのは素晴らしい。自滅していないのは。そして、誰にとってもストレスがずっと少ない」とハリス氏は言う。
一方で、MBTAが2008年の講演に対して非常に強硬な姿勢を取ったことで、彼の関心を引き、15年近く経ってグループの研究が始動したことを、彼は嬉しく思っている。「もし彼らがそうしてくれなかったら、私たちはここにいなかったでしょう」とハリス氏は言う。
2023年8月10日午後5時（東部標準時）更新：MBTA広報担当者の声明を追加しました。2023年8月11日午前11時25分更新：10代の若者とMBTAの面談が行われた日時を明確にしました。
