米国の投票システムの安全性は、投票機、票の集計、有権者への影響といった点で懸念の対象となっている。情報源の分析によれば、投票機の操作が米国の選挙結果を変えたと断言できる証拠はないが、サイバーセキュリティの厳密な意味で安全とは言えないシステムである。
認証は受けるが、更新はまれな機械
投票は州によって運営され、手続きは州や郡によって異なる。投票所では、有権者はElection Assistance Commission（EAC）によって認証され、「エアギャップ」の原則に従ってネットワークから隔離された機械で選択を指示する。その後、機械は読み取り可能なテキストとバーコードまたはQRコードを含む紙の投票用紙を印刷し、それがスキャンされて集計される。
Sequentの共同創設者兼CEOであるShai Bargilは、この認証の実効性に疑問を呈している。彼は、認証が4年ごとの選挙サイクルに関連付けられておらず、機械が2年以上変更されずにいる可能性があると指摘する。「これはかなりばかげている。ソフトウェアは常に更新され、修正される必要がある」と彼は述べ、この認証は「ほとんど無意味」だと結論づけている。
投票機はまた、Voting Village（DEF CONカンファレンスで開催される選挙セキュリティラボ）に委ねられ、研究者や関係者がテストを行う。Shai Bargilによれば、このラボに提供された機械はすべて、攻撃者が物理的に操作可能になった時点で、成功裏にハッキングされたという。Rapid7のサイバー脅威インテリジェンス担当バイスプレジデント、Christiaan Beekは、機械を「究極の真実の源」と見なすのではなく、より広範なシステムの一要素として考えることを推奨している。
信頼を強化するための方策
Shai Bargilは、使用されるソフトウェア全体をオープンソース化し、学者や専門家が検証できるようにすることを提案している。また、紙の投票用紙に加えて、各投票の暗号化された記録が直接集計システムに送信されることも提案している。マイクロソフトのプロジェクトElectionGuardは、投票の準同型暗号化を提案しているが、コードの公開は推奨していない。
BugcrowdのCEOであるDave Gerryは、最も対処が難しい脆弱性はシステムの周辺部、特に有権者登録データベース、郡のウェブサイト、選挙運動チームのメールシステムなどにあると見ている。NRLabsのペネトレーションテストディレクター、Casey Eriksonは、目標はリスクを完全に排除することではなく、封じ込めることだと強調する。「アクセス制御が重要だ。検証可能なバックアップが不可欠である」と述べている。
影響工作と偽情報
元FBI特別捜査官で現在Arctic WolfのCISOを務めるAdam Marrèは、選挙に関連する活動の多くは、投票そのものを改ざんするよりも、偽情報キャンペーンやソーシャルメディアでの操作を通じて選挙の認識に影響を与えることを目的としていると観察している。複数の情報源が、ロシアが2016年の選挙前にドナルド・トランプ氏を支持する影響工作キャンペーンを行ったと主張しており、この分析は2017年に米国情報機関によって報告された。2024年には、米国機関は、トランプ陣営を標的としたハッキングと情報漏洩作戦をイランに帰属させた。
2024年には、ディープフェイク（合成的模倣）によって生成されたジョー・バイデン氏の声を使用した自動音声電話がニューハンプシャー州で流された。これは民主党支持者に投票を控えるよう促すものだった。情報源によれば、この試みは失敗に終わり、発信者はこれは本格的な攻撃ではなく、AIの可能性について認識を高めるための手段だと述べたという。
