この話には、AceMagicが良く見えるバージョンがあります。それは本当のことなので、まずそちらから話す価値があります。2024年2月、独立系の研究者やYouTuberが、新品のAceMagic AD08、AD15、S1ミニPCが工場出荷時のWindowsイメージにマルウェアを組み込まれた状態で届いていることを実証した後、同社はこのカテゴリーでは珍しい行動を取りました。書面で声明を出し、影響を受けたSKUを名指しし、責任を認めたのです。中国系ブランドが欠陥に対して丁寧なメール1通と目立たない交換で済ませるのが常の業界で、「マルウェアを出荷してしまいました。対象はこちらです」というのは標準的な対応ではありません。AceMagicはそれをやりました。The Registerが声明の全文を掲載しており、最も注目を集めた一文はこうです。「ソフトウェアの起動時間を改善するため、当社の開発者が私の承認なしにMicrosoftのソフトウェアに調整を加えました。」

この一文が、AceMagicのマルウェア事件で最も評価できる到達点です。そこから先は、どれもあまり褒められたものではありません。

マシンに実際に入っていたもの

マルウェアは巧妙なものではありませんでした。BleepingComputerの報道によると、影響を受けた個体の工場出荷時のWindowsイメージには、認証情報を盗むソフトウェアの2つの異なるファミリー（BladabindiとRedlineと特定された亜種）が、通常の初回起動セットアップを経ても残る形で組み込まれていました。Bladabindiは長年出回っているバックドアで、認証情報を外部に送信し、リモートアクセスを可能にします。Redlineはここ数年で最も蔓延している汎用インフォスティーラーの一つで、実行から数分以内にブラウザのパスワード、自動入力データ、暗号資産ウォレットのファイルを根こそぎ吸い上げるよう設計されています。

発見はAceMagic自身の品質保証からではなく、外部からもたらされました。YouTuberのJon Bringusと、別のチャンネルであるThe Net Guy Reviewsが、メーカーの勧告が出る前に、自分たちが購入した個体で検出結果をそれぞれ独自に実証していたのです。AceMagicが声明を出した時点で、動画はすでに公開されており、Tom’s Hardware、PCMag、XDA Developersもすべてこの件を報じていました。つまり、同社の認めた対応は、実質的に最初の一手ではなく二手目でした。

声明が実際に述べていること、述べていないこと

注意深く読むと、AceMagicの説明には具体的な主張が含まれています。マルウェアは、社内の開発者が「起動時間を改善する」ためにMicrosoft Windowsのイメージを改変した副作用であり、それは「私の承認なしに」（「私」は声明に署名した会社の責任者を指します）行われた、というものです。この枠組みは、原因を社内に置きつつも経営者の認識の外に置き、マルウェアをサプライチェーンの侵害ではなく、最適化作業の意図しない結果として捉え直しています。

よくまとまった話です。そして、一般の人には検証のしようがない話でもあります。声明は開発者の名前を挙げず、出荷前のイメージの正確なハッシュも公開せず、ありふれた「起動時間の最適化」から、なぜブラウザの認証情報をリモートサーバーに送信するバイナリが生まれたのかも説明していません。その挙動は、どう正直に読んでも起動性能の改善作業とは無関係です。The Registerはこの空白を控えめに指摘し、BleepingComputerはそれほど控えめではなく指摘しました。どちらのメディアも、フォレンジックのタイムラインへのアクセスは与えられていません。

もう一つの沈黙があります。AceMagicはAD08、AD15、S1の「一部」の個体が影響を受けたと認めましたが、声明はシリアル番号の範囲も、製造期間も、侵害されたマシンの絶対数も公表していません。2023年末や2024年初頭にこれらのモデルを購入した人には、自分の個体が対象だったかどうかをメーカーの情報から判断する方法がありません。対処の指針（クリーンなMicrosoftイメージからWindowsを再インストールする）は正しいのですが、影響を受けていない所有者が受けるのと同じ助言でもあります。つまり事件の境界線はAceMagicが引いた場所にはなく、購入者がそれぞれ最悪を想定すると決めた場所にあるのです。

実際の「対処」の中身

AceMagicが公表した対策は、Microsoft公式のISOを使ったWindowsのクリーン再インストールと、以降の生産ロットではイメージを入れ直したという保証でした。感染した起動イメージに対する技術的な回答としては正しいものです。同時に、作業の負担を顧客に負わせる対処でもあります。

一般的なミニPCの購入者にとって、再インストールは簡単な頼みごとではありません。AD08、AD15、S1は、家庭ユーザー、小規模オフィスへの導入、キオスクやサイネージの運用者、贈り物としての購入を含む市場で売られています。これらの購入者は、Windowsマシンを一から組み立てたり、イメージを入れたり、設定したりするのを避けるためにこそ完成品を選んでいます。彼らにとって「ISOをダウンロードし、インストールメディアを作り、ドライブを消去し、再インストールし、ライセンスを再認証し、データを復元する」ことは、予定もしておらず、購入時に警告もされなかった半日がかりの作業です。

AceMagicが影響を受けた購入者に、返金、延長保証、クレジットモニタリングの支援を提供したという公的な記録はありません。これらは、規制のある市場のハードウェアメーカーが、認証情報を盗むマルウェアの事件が確認された後に通常提供する標準的な救済措置です。PCMagの記事とXDAの報道はどちらもこの非対称性を指摘しています。同社は言葉の上では責任を認め、実際には後始末を購入者に求めたのです。

評価すべき点と、その代償

AceMagicは、影響を受けたモデルを書面で名指ししたこと、そして問題を第三者のレビュアーの誤りだと装わなかったことについて、評価されるべきです。欠陥に対する標準的な反応が沈黙と個体交換であるカテゴリーにおいて、これは重要なことです。本記事の冒頭で触れた微妙な側面であり、本物の評価点です。

代償は、声明に含まれていなかったものです。公表されたフォレンジックのタイムラインはなく、製造期間もなく、影響を受けた台数もなく、登録済みの購入者への能動的な通知もなく、公的な声明の数週間から数か月前にブラウザのパスワードが流出した可能性のある所有者へのクレジットモニタリングの提供もありません。AceMagicのマルウェア事件を公正に総括するなら、「AceMagicは正しいことをした」ではなく、「AceMagicは正しいことを言い、残りの作業は購入者がした」となります。該当時期にAD08、AD15、S1を購入し、一度もWindowsを再インストールしていないなら、2年が経った今でも、そのマシン上の認証情報は変更すべきだと考えるのが賢明です。それは多くの報道が結末を書かないまま閉じたバージョンの話であり、謝罪と並べて記録に残すべきバージョンの話です。