ILOVEYOU ── 1日で世界を回ったラブレター・ワーム

ILOVEYOU（ラブレター・ワーム、Love Bug とも）は、2000年5月4日にアジアから広がり、1日で世界中の電子メールを麻痺させた Windows 向けのワーム型ウイルスである。件名「ILOVEYOU」のメールに LOVE-LETTER-FOR-YOU.TXT.VBS という添付ファイルが付いており、開くと Microsoft Outlook のアドレス帳の全員に自分のコピーを送った。作者とされたのはフィリピン・マニラのコンピュータ専門学校の学生 Onel de Guzman で、当時のフィリピンにはその行為を処罰する法律がなく、別の法律による訴追も取り下げられた。本人が作成を認めたのは20年後のことである。

何をするプログラムだったのか

米カーネギーメロン大学の CERT Coordination Center（CERT/CC）は、5月4日に勧告 CA-2000-04 を出した。勧告によれば、正体は VBScript で書かれた悪意あるプログラムで、Windows Scripting Host が有効な Windows で動く。

メールで受け取った人は送り主を知っている可能性が高い ── 勧告はそう注意したうえで、送り主に関係なく、出所を直接知らないコードは実行しないよう呼びかけた。上書きされたファイルは削除されたのではなく中身を書き換えられているため、復元は難しく、不可能な場合もあるとも書いている。

1日で世界を回った

米会計検査院（GAO）は5月18日の議会証言で、その日の経過をまとめている。最初の報告は5月4日にアジアから上がり、米国が寝ているあいだにアジアと欧州へ前例のない速さで広がった。香港が午後3時のとき、西欧は午前9時で、被害が目に見え始めていた。

CERT/CC の勧告は5月8日夕方の時点で、650以上のサイトから50万台を超えるシステムが影響を受けたとの報告を受けたとしている。

GAO は、前年の Melissa より速く広がった理由を2つ挙げた。週末ではなく平日に来たこと、そして Melissa がアドレス帳の最初の50件にしか送らなかったのに対し、ILOVEYOU は全員に送ったことである。退役軍人保健局には5月10日までに700万通が届き、Melissa のときの75万通をはるかに上回った。保健福祉省には約300万通が届き、省全体のメールが完全に戻ったのは5月9日だった。

誰が被害を受け、いくらかかったのか

GAO によれば、AT&T、TWA、Ford といった大企業、Washington Post、Dow Jones、ABC News などの報道機関、州政府、学校、信用組合がネットワークを数時間止めた。国外では国際通貨基金、英国議会、ベルギーの銀行システムなどが影響を受けた。

連邦政府の警報は遅かった。GAO が聞き取った20機関のうち、最初に FedCIRC から知ったのは2機関だけで、12機関は自分の職員から知った。Outlook 以外のメールソフトを使っていた7機関は、広範な感染を免れた。

被害額について GAO は、当初の推計は1億ドルから100億ドル超まで幅があり、最終的な額はまだ分からないと述べている。

日本では大型連休が幸いした

日本に届いたのはゴールデンウィークのさなかだった。情報処理振興事業協会（IPA）が6月に発表した5月の届出状況によれば、ウイルスの発見届出は900件で月間の過去最高となり、そのうち VBS/LOVELETTER が346件を占めた。1種類のウイルスの月間届出数としても過去最高だった。それでも実際に感染したのは9件・19台にとどまった。IPA は、企業が休みのあいだに大きなニュースとして報じられ、連休明けに利用者が慎重にメールを扱ったことや、システム管理者が連休中に対処したことが理由ではないかとしている。

作者は罰せられなかった

捜査はマニラにたどり着いた。Infosecurity Magazine と BBC の記事によれば、ワームが盗んだパスワードの送り先のメールアドレスがマニラのアパートに登録されており、そこに住む人物の弟が AMA Computer College の学生 Onel de Guzman だった。5月11日に弁護士が開いた記者会見で、偶然流出させた可能性を問われた de Guzman は「It is possible.」（あり得る）と答えた。

訴追の取り下げについて、Computerworld は AP の報道として、証拠不足に加え、国家捜査局の訴因がコンピュータへの不正侵入そのものを対象としていなかったことを理由に挙げている。新しい電子商取引法は、成立前の行為にさかのぼって適用できなかった。

20年後の告白

英国のジャーナリスト Geoff White は、マニラのショッピングモールの奥にある携帯電話修理の露店で de Guzman を探し当てた。2020年5月に公表された BBC の記事によれば、de Guzman は ILOVEYOU を作ったことを認め、目的はダイヤルアップ接続のパスワードを盗み、料金を払わずにインターネットを使うことだったと語った。最初はチャットで知り合ったフィリピン国内の相手にだけ送っていたが、2000年春にアドレス帳の全員へ自分を送る機能を加え、世界中の人が開きたくなる件名を付けたという。「I didn't expect it would get to the US and Europe. I was surprised.」（米国や欧州まで届くとは思わなかった。驚いた）と本人は語っている。同級生の Michael Buen が共作者だという説については、自分だけで作ったと否定した。

これらは本人の説明であり、2000年の時点では一度も認めていなかった。

残したもの

GAO は証言の結論で、添付ファイルは見た目どおりとは限らないと利用者に教えること、同じ形のメールが一度に大量に届いたら警報を鳴らす仕組みを持つこと、メールが止まったときの代わりの連絡手段を用意することを各機関に求めた。

ネットワークを自力で渡り歩いた 1988年の Morris ワーム から12年後、ILOVEYOU はメールと人の好奇心を足がかりにした。その後の流れは サイバーセキュリティの年表 にあり、2017年の WannaCry もそこに並んでいる。