テレワーク環境のセキュリティ、あらためて確認しよう

総合研究部 上席研究員　佐藤栄俊

テレワーク環境のセキュリティ、あらためて確認しよう

【概要】

新型コロナウイルス感染症のパンデミックにより一気に広まったテレワークですが、半強制的に導入せざるを得ない状況だったこともあり、環境整備が追いつかないまま、実施に踏み切った企業も多くあります。緊急事態宣言の解除後、状況は緩和されつつありますが、第二波、第三波、さらには新たな感染症を想定すれば、今後も多くの企業がテレワークを何らかの形で継続、導入することにならざるを得ません。このような状況のなか、あらためて確認しておきたいのがテレワーク環境の再点検とセキュリティ対策です。

テレワークの浸透により高まるセキュリティ上のリスクや被害については、新型コロナ感染拡大以降での具体例はまだあまりなく、全貌は見えていないのが現状です。ただし、自宅で使用する機器やパソコンの安全性が確保されていない状況などを鑑みると、社内でイントラネットを利用するよりは、サイバー攻撃による情報漏えいなどの危険性は高くなります。

テレワーク環境に対するサイバー攻撃の被害があらためて認識されるまでには、もう少し時間がかかると思います。顕在化するまでは何か月も気付かれないままリスクが潜在し、深刻化している可能性があるからです。「今、何も起きていないから大丈夫」という認識は間違っており、そのリスクについては危惧されることです。また、従業員がその気になれば、重要な情報を自宅のプリンタで印刷したり、USBメモリにコピーしたりできてしまいます。さらに、悪意はなくとも、誤操作によって情報漏えいにつながる事件や事故が起きる可能性は確実に高まります。

しかも万が一、自宅に持ち帰ったPCがマルウェアに感染したり、重要な情報がUSBメモリにコピーされたりしても、企業ではそれを把握する術がありません。「それが判明するのは実際の被害や、情報漏えいが顕在化してから」という事態は、企業としても避けたいところです。

1.テレワークを取り巻く脅威

新型コロナウイルスの感染拡大を背景に、テレワーク環境を狙ったサイバー攻撃が今後ますます増加することが予想されます。2019年に日本国内で猛威を振るったマルウェアEmotetにも、あたかもテレワーク環境を標的とするかのような亜種が登場しています。

【Emotetによる過去の被害】
▼情報セキュリティトピックス「データプライバシーとコンプライアンスの動向(1)」

これまでのEmotetはメールを介して感染が広がるタイプが主流でした。Emotetに感染したデバイスから窃取したメールや宛先を悪用し、さらに感染の拡大を狙います。今回発見された亜種は、感染したデバイスからWi-Fiを経由して拡散するものです。

これまでのマルウェアは、感染した組織内やその関係者が被害の中心でした。しかし、今回発見された亜種は、テレワーク中の自宅の端末から近隣のネットワークに侵入する事が可能です。例えば自宅の端末経由で隣人の端末がマルウェアに感染してしまったり、あるいは隣人の端末経由で自宅の端末がマルウェアに感染してしまったりなど、これまでにない方法でマルウェアが拡散する恐れがあります。

テレワークの推進によって我々の働き方は大きく変わり、それに伴ってシステムを取り巻く環境や構成も「変化」します。攻撃者はそのような「変化」を観察し、攻撃の機会を窺っています。例えば社内のシステムにリモートでアクセスするためにVPN（Virtual Private Network）サービスを立ち上げたとします。IPアドレスやポートなど、アクセスに必要な情報は社外秘の情報として扱い、基本的に従業員しか知り得ない情報です。このような状況下であっても、攻撃者はどのIPアドレスでVPNサービスが稼働しているかを、比較的短時間で突き止めることが可能です。

その一例として、「Shodan」や「Censys」（IoTデバイスを探す検索エンジン）のような検索エンジンを用いる手法が挙げられます。これらの検索エンジンは、インターネット上のあらゆる機器を巡回し、どのような機器でどのようなシステムが稼働しているかの情報を収集しています。検索によって発見されるまでなら実害には至らないケースがほとんどでしょう。

しかし、例えば利用するソフトウェアに脆弱性が存在する場合や、認証などの保護機能が適切でなかった場合、不正アクセスやランサムウェア攻撃などの様々な攻撃のターゲットになる恐れがあります。特に米国を中心として、脆弱なVPNシステムを悪用したランサムウェア攻撃が実際に多数確認されています。まずはPCやその他通信機器など、セキュリティパッチを適用し、システム全体を最新の状態に保つことを対策として推奨します。

また、　また、利用されるアプリケーションに関しても、大きく変わったという利用者も多いのではないでしょうか。リモートワーク／在宅勤務のために急遽ビデオ会議システムを使い始めたという企業は少なくないはずです。新型コロナウイルスの流行を受けてグローバルに利用者数を急増させたZoomを始め、Cisco WebexやGoogle Hangout、Microsoft Teamsなどのビデオ会議システムの利用が拡大したことで、Webカメラが品薄を起こしたという話はともかく、従来はあまり気にしていなかったアプリケーションの脆弱性や意外な個人情報漏えいまで、いろいろなトラブルが出ました。

特に、Zoomでは急速に注目が高まったせいもあってか、ソフトウェア自体の脆弱性に加え、利用者側の運用や設定が適切でないことに起因するトラブルや、Zoom社側で不適切な第三者への情報提供を行っていたことが発覚するといった問題も明らかになりました。こうした問題はZoom側でも適宜対応を行っており、修正も進んでいるはずですが、IT部門やセキュリティ担当者は引き続き最新情報に注意を払っておく必要があります。

2.家庭用機器への注意

内閣サイバーセキュリティセンター（NISC）は、「新しい生活様式」に向けたセキュリティ対策の指針を公開しています。

▼内閣サイバーセキュリティセンター「テレワーク等への継続的な取組に際してセキュリティ上留意すべき点について」

具体的には(1)テレワーカーの増加や対象業務の拡大があった場合はセキュリティリスクを再評価すること、(2)支給端末・支給外端末に関わらず、利用端末のOSや関連アプリケーションをアップデートすること、(3)社員がインターネット回線や公衆通信回線経由で社内システムに接続している場合は対策を見直すことなどです。

本文書では、テレワーク時の要注意ポイントとして、家庭用ルーターのセキュリティについて触れています。

テレワーク時には、VPNを用いてエンドツーエンドで暗号化しているから安心だと考えがちです。しかし、そもそもルーターが不正アクセスを受けてしまうと、通信先を改ざんされたり、場合によっては通信自体できなくなって業務が止まってしまう恐れがあります。セキュリティの役割の一つは、企業が業務をつつがなく継続できるようにすることです。しかし、テレワークの広がりに伴って、事業継続性が家庭用ルーターのセキュリティに左右される状況になってしまうということです。

新型コロナの影響で勤務先が急きょテレワークの導入を決めたため、家電量販店や中古ショップ、通販サイトなどで販売されている安価なルーターを急いで購入したという人は多いでしょう。テレワーク環境整備を支援するため社員に補助金を支給する企業も出てきたほどです。 問題は、このとき、きちんとサポート期間内にあり、アップデートを適用して最新の状態を保ったルーターが使われているかどうかです。

ルーターのサポート体制はメーカーによってまちまちであり、きちんとファームウェアをバージョンアップし続けている企業もあれば、そうでないところもあります。安価だからとオークションサイトなどで調達したルーターを業務に使うのは危険です。

3.異変の検知

テレワークの増加に伴い、リモートから簡単にアクセスできるサーバやPCが一気に増えることとなりました。攻撃者もそれを見逃さず、リモートデスクトッププロトコル(RDP)のパスワードを破ろうとする大規模なブルートフォース攻撃が数多く観察されています。
実際、情報通信研究機構 （NICT）のNICTER観測レポート2019上半期によれば、2019年上期だけで1438億パケットを観測し、約30万IPアドレスに対して約48万パケットが送信されている計算になります。逆に攻撃を受けたことが無いという企業があるとすれば、それは攻撃が無いのではなく「気づいていない」だけであり、非常に危惧される状況であるといえます。
そうしたなか、セキュリティ対策にまず求められるのが、侵入されてしまうことを前提とした対策です。そもそもサイバー空間では攻撃側が圧倒的に有利であるため、防御策だけですべての攻撃を防ぐことは厳しいといえます。そのため、ビルの防犯にたとえると「建物内」にも監視カメラを張り巡らせておき、怪しい動きがあればあとからでも追跡できるようにしておくことが重要になってきます。
また、守るべき“境界”もワークスタイルの変化を受けて、かつてとは変わってきています。クラウドの利用やテレワークの普及により、現在では情報資産が社外にも存在する状態であることから、セキュリティのポイントは境界型からエンドポイントへと変化しています
サイバー攻撃の被害を抑えるために従業員やそのデバイスの「異変」を素早く正確に検知することが重要です。ますます高度化する標的型攻撃に備えて、SIEM（Security Information and Event Management）やEDR（Endpoint Detection and Response）等のソリューションを導入する企業が増えつつあります。 しかし、オフィス内の体制がどれだけ万全なものであったとしても、従業員やデバイスの所在や環境のコントロールが難しいテレワークにおいては、「異変」の検知が難しいケースがあります。特に対策が万全でないまま私用端末を業務に転用されるようなことがあると、全く検知の機会がないままサイバー攻撃の侵入口として利用され、情報漏えい等の被害に繋がるケースも考えられます。まずは、私用端末の位置付けを社内ルール上で明確に定義し、従業員に周知する必要があります。そして事故が発生した前提での対策を予め検討する事を推奨します。

4.その他、押さえてほしい確認事項

本来ならば、テレワーク環境下でも、アプリやツールだけでなく、従業員が使っているパソコンやスマホを含めた道具全般を企業のガバナンスの下に置くことが望ましいといえます。大手企業であれば、IT部門がこうしたIT資産の管理を行うよう、ルールも定められていることでしょう。

ただ実際の運用では、リモートでなくオフィスの中でも、本来禁止されているはずの企業の管理下にない私物のパソコンやスマートフォンをネットワークにつないだり、USBメモリーを使用してデータをやり取りをしたりといったことは、頻繁に起こりえます。

また、中小・零細企業で独立したIT部門や担当者が設けられていない場合、オフィス内でもパソコンが何台あるか、それぞれのOSは何で、バージョンはいくつかといったことを把握することは難しく、状況を可視化できていないことが数多くあります。

先ほど述べたとおり、社内でイントラネットを利用するよりテレワーク環境下のほうが、サイバー攻撃などで被害に遭うリスクは高まります。デバイスやソフトウエアのセキュリティの問題に加えて、「時間が自由に使えるため、ふと注意が散漫になったときに脅威に遭いやすい」「いざ問題が起きたときに、すぐに相談できる人がいない」といった課題もあるからです。従業員各自がリスクを認識し、今まで以上に注意してデバイスやツールを使う必要があります。

具体的な対策としては、従業員が自宅で使うパソコンのOSを最新のものにアップデートすること、ウイルス対策ソフトの定義ファイルを最新のものに更新することなどが挙げられます。そのほかに、巧妙なメールなどによるサイバー攻撃に対する注意を従業員に促すことも大切です。

世界保健機関（WHO）は、同機関へのサイバー攻撃が5倍に増加していること、コロナウイルス対策に取り組むWHOや関連組織のメールアドレスが4月に流出したことを明らかにしており、偽メールが関連する組織や団体に送られる可能性が示唆されています。

公的な機関や官公庁のメールアドレスから送信され、文面も本物そっくりの内容のメールに埋め込まれたURLをクリックしたところ、ウイルスに感染した、という事例は過去にもあります。どんなメールであっても、気を付けながら開封する必要があります。

それぞれの従業員が「気を付けよう」という意識を持つためには、組織全体でサイバーセキュリティに対する姿勢を普段から示し、発信することが大切です。労働3法をないがしろにする経営者はいないと思いますが、それと同じようにセキュリティに対する重要性を、経営者は認識しなければなりません。またリスクを抑えるための施策に対する予算、人員を十分に充てて、備えるところから対応することも重要です。

最近のトピックス

◆Twitter「An update on our security incident」

バラク・オバマ前大統領やビル・ゲイツ氏など著名人のほか、多数の仮想通貨取引所のツイッターアカウントが乗っ取られた事案で、Twitter社は7月18日、事故の概要をまとめたレポートを発表しました。その中で今後、セキュリティに関するトレーニングと対策を強化することを明かにしています。

Twitter社によれば、攻撃者は特定の従業員をターゲットにし、ソーシャル・エンジニアリング攻撃をしかけたとのことです。攻撃者は、人々を誘導し、一定の行動をとらせることで、機密情報の入手に成功したということです。攻撃者は、Twitterの内部システムにアクセスできるクレデンシャル情報を従業員から取得し、2段階認証を突破したとされています。攻撃者はTwitterの社内サポートチームだけが使用できるツールを使用し、130のTwitterアカウントを標的にしました。そのうち45のアカウントについて、攻撃者はパスワードのリセットに成功し、アカウントにログイン、ツイート投稿までこぎつけました。つまり、従業員の不注意などに付け込んで管理者情報を漏えいさせてシステムを乗っ取る手法がとられたということです。

サイバー攻撃の対策というと、PCの使い方やインターネットといったサイバー空間での行動に目が行きがちですが、重要情報が保管されたサイバー空間への鍵を開ける情報（ID・パスワードなど）は意外とアナログに管理されていて、デスクの周りなど物理的な空間で入手できることもあります。

標的型攻撃は特定組織・特定個人をターゲットにして、あらゆる手段を使ってその組織・個人が持つ情報へアクセスする鍵を見つけようとします。端末などの技術的な対策だけでなく、ヒューマンエラーや心理的隙を突かれて攻撃の足掛かりを与えることのないように人的対策もしっかりおこなっていく必要があります。

◆日本サイバー犯罪対策センター「～サポート詐欺やiPhone当選詐欺の手口～」

日本サイバー犯罪対策センター（JC3）は2020年7月2日、同センターの公式ウェブサイトに「サポート詐欺」や「当選詐欺」の注意動画を掲載しました。サポート詐欺とは、アクセスしたサイトでセキュリティ企業になりすまし「ウイルスに感染した！」など呼び掛け、悪意ある「対策ソフト」の導入を促すものです。当選詐欺は、「企業の抽選に当選しました！」などと呼び掛け、メールアドレスがクレジットカード情報を抜き取ろうとするものです。

両者は近年急増しているフィッシング詐欺であるため、JC3は注意喚起の目的から、両者の詐欺行為に意図的にひっかかり、その様子を動画で公開。随所で恐怖感や期待感をあおる演出の様子や、電話番号やメールアドレスを提供した先にどのような詐欺行為が待っているかなどを公開しました。

JC3はサポートや当選を装うフィッシング詐欺への対策として、「慌てず行動」が大切としています。両者の手口はいずれも、思わず個人情報を入力してしまいかねない心理状態を狙うものであるため、電話番号やクレジットカード情報などを入力しない、勧められるがままに怪しいソフトをインストールしないなどの、落ち着いた対処が求められます。具体的な対策としては、「ブラウザを閉じる」、「PCを再起動する」などによる対処を呼び掛けています。

偽の警告画面や当選画面等は、ブラウザを閉じたり、PCを再起動することなどにより、表示されなくなりますので、慌てて画面に表示された電話番号へ連絡したり、クレジットカード情報等を入力しないようにしましょう。

また、電話の指示により遠隔操作するソフトウェアをインストールしてしまった場合、パソコン内の情報窃取やマルウェアへの感染等のリスクとなることから、各種アカウントのID・パスワードの変更、PCのリストアなどの処置を講じるようにしてください。

◆フィッシング対策協議会「宅配便の不在通知を装うフィッシング (2020/07/09)」

フィッシング対策協議会は2020年7月9日、宅配便の不在通知を騙りアクセスを促し、金融情報などを盗み取ろうとする詐欺行為が確認されたと公表しました。協議会によると、攻撃者は「荷物のお届けにあがりましたが不在のため持ち帰りました」などの文言とともにURLリンクを添付し、ターゲットにSMSで送信するとのことです。添付のURLリンクで不正なアプリのインストールを促したり、「第三者からの不正アクセスを検出しました」などの文字とともに金融機関に似せたフィッシングページを作って待ち構えるなど、情報を盗み取ろうとする動きが見られるとしています。

【参考情報 1】
▼IPA安心相談窓口 宅配便業者をかたる偽ショートメッセージに引き続き注意！

【参考情報 2】
▼【再掲】auじぶん銀行を装った不審なショートメッセージ（SMS）や偽サイト等にご注意ください

フィッシング詐欺の見分け方は、とにかく用心することが第一です。メールで送られてきたならメールアドレスは正規のものか、サイトにアクセスをうながされたのならWebアドレスが正規のものであるかどうかなどを確認するのが基本です。不自然な文章ではないか、身に覚えのある内容なのかもチェックしたいところです。

たとえば相手が金融機関を名乗っているのなら、本当にメールで個人に連絡する取り組みをしているのか、連絡先を調べて問い合わせてみるのも有効といえます。もちろん、セキュリティソフトウェアを使用し、デバイスや個人情報をフィッシング詐欺（およびマルウェア）の脅威から保護するのも大事です。

それでも、フィッシング詐欺の被害に遭うことがあります。友人や職場の人間、もしくは家族などがフィッシング詐欺の被害に遭うことがあるかもしれません。また、そのことによって自らにも悪影響が及ぶ可能性も否定できません。被害に遭わないことが一番のぞましいのは当然ですが、被害に遭ったときに何をするべきかを知っていれば、いざというときに対応や助言ができるだけでなく、新しいパターンの攻撃が流行した際の備えになるはずです。

◆情報処理推進機構「中小企業向けサイバーセキュリティ事後対応支援実証事業（サイバーセキュリティお助け隊）の報告書について」

IPA（情報処理推進機構）は6月15日、中小企業向けサイバーセキュリティ事後対応支援実証事業「サイバーセキュリティお助け隊」の報告書を発表しました。

IPAは19府県8地域の中小企業を対象に、地域の団体・企業等と連携した中小企業のサイバーセキュリティ対策支援「サイバーセキュリティお助け隊」に取り組んでいます。これによりサイバーセキュリティに関する課題や対策のニーズ、サイバー攻撃被害の実態等を把握するとともに、サイバーインシデントが発生した際の支援体制の構築等に向けた実証を実施し、報告書にまとめています。

全国8地域で事業主体が実施体制を組織し、地域の中小企業に本事業の周知及び参加を呼びかけ、計1,064社の中小企業が実証に参加しており、セキュリティ機器等によるサイバー攻撃の実態把握（727社）、およびアンケート等によるセキュリティ対策状況等の把握（1,716社）が行われました。

これにより、中小企業においても業種や規模を問わず例外なくサイバー攻撃を受けている状況が確認されるとともに、検知及び防御のための対策や社内体制の構築ができていない企業が多いことが確認されています。

また、人的リソースの不足やコストに制約がある中小企業に、必要なセキュリティ対策を促すための取組みの方向性として、「継続的な意識啓発」「導入・運用しやすい対策機器やサイバー保険の開発」「専門家の伴走型支援を含むワンパッケージ化」「コスト低廉化」が重要であることが確認されています。

◆情報処理推進機構（IPA）「2019年度 中小企業の情報セキュリティマネジメント指導業務」

IPAは、「2019年度 中小企業の情報セキュリティマネジメント指導業務」で、2019年9月～2020年1月にかけて、全国の中小企業382社を対象に、専門家による指導をIPAが実施しています。情報処理安全確保支援士（RISS）等を起用し、1社あたり4回の派遣を通して、中小企業の各現場に応じたリスクの洗い出しから、マネジメントに必要なセキュリティ基本方針や関連規定の策定に向けた支援を行うとともに、アンケート調査が行われています。その結果、多くの中小企業で、情報セキュリティ対策への意欲、セキュリティレベル、継続改善の意識が向上するとともに、身近な専門家の有効性や役割の重要性が確認されたとしています。

「中小企業向けサイバーセキュリティ製品・サービスに関する情報提供プラットフォーム構築に向けた実現可能性調査」では、製品・サービスの導入・ヒアリングを実施し、選定の際に参考となる評価項目を「導入・運用のし易さ」「費用」「得られる効果」「課題」等の観点で策定しています。報告書では、「評価項目に沿った評価や提供された情報の信頼性、妥当性の確認をすべて申請時・登録時に実施しようとすると、コスト面、労力面の負荷が大きくなるため、事後評価を上手く活用することが重要」と提言されています。

いずれの報告書も中小企業においては、自社の状況を確認する一助になるでしょう。報告書は、IPAの公式WebサイトよりPDFファイルが無償でダウンロード・閲覧可能です。

最近の個人情報漏えい事故（2020年5月、6月）

下記の表は、今年5月と6月に発生した個人情報漏えい事故一覧です。会社や組織で公表されているもので、かつ当社で把握しているものであり、国内すべての事案というわけではない点につきましてはご了承願います。

※情報セキュリティに特化したニュースサイトであるSecurity Next(http://www.security-next.com/)、その他マスコミで報道されたものをまとめたポータルサイト、各行政や企業がWebサイトで公表したものを参考に当社作成。

「58」「59」の事案は、口頭での情報漏えいです。医師を名乗る者から電話があり、事務員が職員や患者の個人情報を口頭で伝えていたというものです。本事案のような、電話を利用したソーシャル・エンジニアリングは、対面しないためターゲットに近づいて情報を入手しやすいのが特徴で、昔からある代表的な手口です。何らかの方法でそのターゲットとなるサービス等の利用者名を入手したら、その利用者のふりをして、ネットワークの管理者に電話をかけ、パスワードを聞き出したり、パスワードの変更を依頼したりします。また、逆に管理者になりすまして、直接利用者にパスワードを確認するといったこともおこなえます。

ソーシャル・エンジニアリングとは、情報セキュリティ分野では、機械的（mechanical）な手段や技術的（technical）な手段ではなく、「人」の行為や行動における心理的（psychological）な弱点を狙う手法により、個人情報や機密情報などを詐取する行為や手口のことを指します。情報セキュリティにおいては、機械的な手段や技術的な手段ではなく、「人」の行為や、行動における心理的な弱点を狙う手法によって、個人情報や機密情報などを詐取する行為や手口を指し、場合によっては、フィッシングやトロイの木馬などのマルウェアを使った手法なども、ソーシャル・エンジニアリングに含まれます。これらは、不正アクセスなどを成功させるための補足手段として用いられることもあります。

ソーシャル・エンジニアリングは、「人」に錯誤を生じさせ不正プログラムをその「人」自らに実行させるための「騙しのテクニック」として、標的型攻撃において利用されています。ソースコードやプログラムの脆弱性とは異なり、「人」の心理の隙を完全に防ぐことはできないため、攻撃者にとって、人的な脆弱性を利用した悪意ある攻撃の実行可能性は高いと言えます。

また、企業における情報漏えいリスクの一つとしてクローズアップされている産業スパイやサイバースパイ活動は、攻撃の前にソーシャル・エンジニアリングを利用して標的社員に近づくともいわれており、最近では、Facebook、Twitter等のSNSを利用し、組織内の特定の従業員になりすますことにより、標的社員の情報を取得するといった手口もあるので注意が必要です。ソーシャル・エンジニアリングの手口は標的型攻撃メール以外にもさまざまな種類があり、古典的かつ典型的な手口として以下の3種類が挙げられます。

(1)なりすまして情報を聞き出す

一般的な手口として、上司になりすますことで権威に弱い人間から情報を詐取する手口や、同僚や仲間を装うことで相手が心を許し、善意から情報提供することを狙いとする手口が用いられます。原理的には、相槌を打ったり、質問をしてみたり、関心があることを装うことで、対象者に次々と情報を出させるように仕向ける手法です。例えば、以下の手口が挙げられます。

• 社内のシステム管理者になりますまして、利用者から情報を引き出す。
• 初心者の利用者や女性社員になりすまして、システム管理者から情報を引き出す。
• 取引先、見込み客、実在する顧客になりすまして、情報を引き出す。
• 公共サービス部門の関係者等、第三者になりすまして、情報を引き出す。

(2)ゴミ箱や廃棄処理されていないものをあさる

ハッキングの対象として狙ったネットワークに侵入するために、ゴミ箱やゴミ捨て場に捨てられた資料から、ユーザー名やパスワード等の情報を探し出す手口です。トラッシング(Trashing,Dumpser Diving)、あるいはスキャベンジング(Scavenging)とも呼ばれ、ゴミとして廃棄された書類などから目的の情報を盗みだす手口を指します。不用意にゴミ箱に捨てたメモ書き（得意先の担当者氏名や電話番号、住所などを書き込んだものなど）だけではなく、CD、DVD、USBメモリなどの記憶媒体をそのまま捨てたものもターゲットとなり得ます。外部からネットワークに侵入する際に、初期の手順として行われることが多いのがトラッシングといわれています。ハッキングの対象として狙ったネットワークに侵入するために、ごみ箱に捨てられた資料から、サーバーやルーターなどの設定情報、ネットワーク構成図、IPアドレスの一覧、ユーザー名やパスワードといった情報を探し出すものです。具体的には、業務終了後、従業員が帰宅した深夜などに、企業のゴミ収集場に忍び込み、収集される前にゴミをあさるということもありますので、廃棄等の手順やルール、委託先等の管理についても、このような視点であらためて確認する必要があります。

(3)肩越しや背後から入力内容を見る

パスワードなどの重要な情報を入力しているところを後ろから近づいて、覗き見る手口です。単純な手口ですが、成功すれば労せずしてパスワードやクレジットカードの番号等を入手することができます。清掃業者や運送業者を装い、社内へ侵入する場合もあれば、社外で移動中の端末操作を盗み見されることもあります。パソコンに向かっている操作者の背後に回り、入力しているパスワードや不在者の机上に置かれた手帳、重要な書類などを盗み見られることもあるので注意が必要です。

※その他、昔から言われていることですが、エレベーターの中やオープンスペース、飲食店、喫煙所での会話も要注意です。悪意はなくとも、大声で社内に関することや、業務内容を話していれば否が応でも耳に入ります。

ソーシャル・エンジニアリングの手口は、多岐にわたり、臨機応変に人間の心理につけ込み情報を詐取するため、技術的な対策は必ずしも有効ではありません。日常の業務における対策として有効なことは、ソーシャル・エンジニアリングの脅威に対する理解と警戒であり、基本中の基本である情報管理ルールの周知徹底に注意を払うことです。また「そんなあからさまな手口には騙されるわけがない・・・」との思い込みや過剰な自信を排除していくことも重要です。

2019年12月、国内最大手のECモールを展開するIT企業のグループ会社にて、従業員の氏名やメールアドレス等、複数の個人情報の流出が発覚しました。これは、グループ会社役員を名乗る人物から電話で虚偽の指示を受け、社内システムから情報を抽出し、提供してしまうという、典型的なソーシャル・エンジニアリングが原因と言われています。

攻撃者は、役員やシステム管理者を名乗る、緊急で処理が必要だと対応を急がす、未公表なので口外厳禁だと指示する等、ヒトの心理や感情を巧みに操って犯行に及びます。前述の事例も「役員が困っている」「すぐに対応してあげないと」という、ヒトの善意に付け込んだケースだと言えます。

また、口頭での情報漏えいに関する報告件数は少ないものの、家族や友人、職場の仲間内でうかつに重要情報を発言してしまい、漏えい事故に発展するケースは以前からあります。

また、本事案のように申出者が本人であるかの確認を十分におこなわないまま、本人以外の第三者に個人情報を伝えてしまった等の事故もあります。更に、業務上知り得た個人情報を、「ウワサ話」のような軽い気持ちで誰かに伝えたことによって、苦情に発展するような場合もあります。どこで、誰が、会話を見聞きしているかはわかりません。また、それを相手が、どこでその情報を拡散しているかもしれません。特に、移動中の電車内や休憩所、喫煙所、居酒屋などでの会話が重要情報の漏えいになる可能性があるので、注意が必要です。

セミナーや研修について

当社ではSNS利用上のリスクや情報管理（主に情報漏えい対策）に関して、セミナーや研修を企業・自治体・学校、病院等の分野で数多く実施しております。

セミナーや研修を通じて、新社会人（新入生）に限らず、全社的に教育を実施しインターネットの特性や情報リテラシーの理解、意識の向上を検討されている際は是非ご相談ください。

【お問い合わせ】
株式会社エス・ピー・ネットワーク 総合研究部
Mail：souken@sp-network.co.jp
TEL：03-6891-5556

• サイバーセキュリティ
• テレワーク・在宅勤務
• 情報セキュリティトピックス