会社員としてできること
「当たり前のことを当たり前に」
筆者はフリーランスで、会社に勤めてはいない。そのため、「仮に自分が会社員だったら、何をするか」という立場で書く。
結論から言えば、出発点は特別なことではない。本稿で取り上げた事例にも、未知の弱点を突く高度な攻撃はあった。一方で、更新されていない機器や、盗まれたパスワード、残っていた古いファイルといった、身近な弱点が入口になった例も少なくない。だから守りは、まず「当たり前のことを当たり前に」続けることから始まる。それだけで高度な攻撃まで防げるわけではないが、入口を減らすことはできる。
玄関の鍵を新しくしておく
ランサムウェアの入口として最も多いのはVPN機器、つまり会社の玄関である[7]。機器を作る会社が弱点を直す更新を出したら、すぐに当てる。使っていない機器やアカウントは止める。
もっとも、機器の更新を決めるのは、多くの場合、情報システムの担当者である。一人の社員にできるのは、「この機器は最新になっていますか」と尋ねられる雰囲気をつくることかもしれない。経済産業省の注意喚起が最初に挙げているのも、組織のトップによる主導である[22]。
合鍵を盗まれても入られないようにする
デジタル庁や両毛システムズの事例では、正規のアカウントが悪用された[10][13]。パスワードという合鍵が盗まれても、それだけでは入れないようにするのが多要素認証である。パスワードに加えて、スマートフォンのアプリや、指紋・顔などの別の要素で本人を確かめる。IPAも、不正ログインへの対策として多要素認証の設定を勧めている[52]。会社のメールや業務のシステムで多要素認証が使えるなら、面倒でも必ず使う。
おかしいと思ったら、すぐ言う
韓国の国立外交院は、自分たちでは気づけず、外部の機関からの通報で初めて侵入を知った[30]。ベトナムの2機関は監視の体制を持っていたが、攻撃に気づけなかった[39]。仕組みだけでは、すべての異常はとらえられない。
だからこそ、一人ひとりの「何か変だ」が大事になる。見覚えのないログインの通知が来た、パソコンの動きがいつもと違う、取引先から妙なメールが届いた。そうしたときに、自分のミスかもしれないとためらわず、すぐに担当の部署へ知らせる。早く知らせた人が責められない職場であることが、何よりの守りになる。
預かった情報を、要らなくなったら消す
大東ガスの事例では、過去の業務でやり取りしたファイルが委託先の社内に残っており、それが攻撃で流出した可能性がある[15]。IPAは「不要な情報は持たない」という原則を挙げ、保有するデータを必要最小限にするよう求めている[23]。
自分の仕事に置きかえれば、取引先から受け取った名簿や、終わった案件のファイルを、いつまでも共有フォルダやメールに残しておかないことである。持っていない情報は、漏れようがない。
委託先と、委託元のあいだで
委託先に仕事を出す立場なら、相手の守りを確かめる。委託先として仕事を受ける立場なら、自分の守りを説明できるようにしておく。2027年3月に始まる予定のSCS評価制度は、その共通の物差しになることを目指している[23]。
そして、バックアップである。バックアップを取っていた組織でも、約7割は元に戻せなかった[7]。会社のバックアップが、ふだんはつながっていない場所にもあるか、実際に戻せるかを試したことがあるか。自分の担当の範囲で一度確かめておくだけでも、意味がある。
会社員としてのチェックリスト
- VPN機器などの更新が当たっているか、担当者に尋ねられる
- 会社のメールや業務システムで多要素認証を使っている
- 不審な通知やメールは、ためらわずすぐに報告する
- 終わった案件のファイルや名簿を残しっぱなしにしない
- 担当の範囲のバックアップが、離れた場所にもあり、戻せるか確かめた
私人としてできること
漏れることを前提にする
私たちの情報は、自分で選んでいない会社からも漏れる。自分がどれだけ気をつけても、漏れることは止められない。だから私人としての守りは、「漏れても被害を広げない」ことを目指す。
パスワードを使い回さない
友訊科技（D-Link）の事例は、外から大量のIDとパスワードを試すリスト型攻撃だった[33]。攻撃者が試すのは、ほかのサイトから漏れたIDとパスワードの組である。同じパスワードを使い回していると、1つのサイトから漏れただけで、ほかのサイトにも入られてしまう。
IPAは、パスワードを「できるだけ長く」「複雑で」「使い回さない」ものにするよう勧めている[52]。とはいえ、サービスごとに違う長いパスワードを覚えるのは無理がある。そこで、パスワード管理の機能やアプリに任せる。スマートフォンやブラウザには、パスワードを作って覚えておく機能が付いていることが多い。
パスキーと多要素認証を使う
さらに一歩進めるなら、パスキーがある。パスキーは、スマートフォンのロックを解くときと同じ指紋や顔、PINで、アプリやサイトにサインインできる仕組みである。サイトの側には秘密の鍵が保存されないため、サイトから情報が漏れても、それだけではサインインに使われない。偽のサイトに誘い込まれても使われにくく、サイトごとに別の鍵になるので、使い回しも起きない[53]。パスキーに対応していないサービスでは、多要素認証を設定しておく[52]。
メールアドレスを分ける
最近は、1つのメールアカウントで、サービスごとに別のアドレス（エイリアス）を作れるものがある。通販用、旅行の予約用、会員登録用とアドレスを分けておけば、どこから漏れたのかがわかりやすい。迷惑メールが増えたら、そのアドレスだけを止めることもできる。
あくまで筆者の場合だが、マイクロソフトのメールサービス「Outlook.com」のエイリアスの機能を使っている。1つのアカウントに別のメールアドレスを追加でき、受信トレイは共通のまま、送信元にするアドレスを選べる[60]。ほかのメールサービスにも、同じような機能を持つものがある。
「漏えいのお知らせ」が来たら
漏えいの知らせが来たときに大切なのは、慌てないことである。手間いらずの事例では、予約の内容を含む不審なメッセージが届き、カード情報の再入力や支払いを求められた[25]。漏れた情報は、本物らしく見えるだましの材料に使われる。
知らせや連絡が届いたら、メールやメッセージの中のリンクは押さず、自分でブックマークや公式のアプリから、その会社の発表を確かめる。そのサービスと同じパスワードをほかで使っていたら、そちらも変える。カードの情報が関わるなら、カード会社の明細をしばらく注意して見る。第一報では範囲がわからないことが多いので、続報も確かめる。
写真と動画は「3-2-1」で守る
クラウドに預けた写真は、攻撃でも不具合でも消えうる[5][51]。
3-2-1の考え方を、スマートフォンの写真に当てはめると、たとえば次のようになる。
- 3つ持つ：スマートフォンの本体、クラウド、もう1か所
- 2種類に分ける：クラウドのほかに、外付けのSSDやハードディスクなど、別の種類の記録媒体にも保存する
- 1つは離しておく：そのうち1つは、ふだんはつながず、別の場所に置く
月に1回、外付けのSSDをつないで写真を写し、終わったら外して引き出しにしまう。それだけでも、クラウドとスマートフォンが同時にだめになったときの備えになる。家族の写真や仕事の写真のように、二度と撮れないものほど、早めに始めておきたい。
私人としてのチェックリスト
- パスワードを使い回さず、管理の機能やアプリに任せている
- パスキーか多要素認証を、主なサービスで設定した
- サービスの種類ごとにメールアドレスを分けている
- 漏えいの知らせが来たら、リンクを押さず公式の発表を自分で確かめる
- 写真と動画を、ふだんはつながない別の記録媒体にも保存している