また、新たな波もやってくる

　そしていま、新たな不安要素が明らかになっています。多くの組織で使っているであろうマイクロソフトのExchange Serverにおいて、かなり深刻な脆弱性が公開されています。その深刻さは、「既にサポートが終了したMicrosoft Exchange Server 2010を含むセキュリティ更新プログラムが公開されている」ことからも、理解ができるのではないかと思います。もしお近くにシステム管理者がいたら、ぜひこのことをお伝えください。いますぐ何らかの対策が必要な問題であり、放置していると他社組織へランサムウェア攻撃を仕掛ける踏み台になる可能性すらあります。

　Emotetがテイクダウンされたのは非常に喜ばしいことですが、全てのマルウェアでこのようなハッピーなことが起きるわけではありません。そのため、システムを使う、インターネットを活用する全ての企業は、同時にセキュリティ対策を怠らない仕組みを運用し続ける必要があります。これはもはや、インターネット世界の公衆衛生のようなものだと考えていただければと思います。

「自分を標的にした攻撃なんか来ないよ！」と言える時代は良かった

　そのためには、やはり「他人事にならない」ことだと思います。冒頭に紹介したようなメールは、どんな企業のどんな人に対しても起きえることだと考えるべきでしょう。例えば名刺が1枚あれば、その所属組織からどのような商材を取り扱っているのか、どの分野の研究をしているのかを把握することができるでしょう。そこに対し、善意の第三者を装って質問をする、転職希望などと言って言葉巧みに近付くためのメール本文を作成するなどは簡単なことです。

　ましてや、いまはテレワークも当たり前の時代。テレワークや新型コロナウイルス感染症に関連したメールを送り、そこにパスワード付きZIPファイルがパスワードとともに記載されていたら、開かざるを得ないと考える人も多いでしょう。それこそが、攻撃者の狙いです。

図1　標的型攻撃メールの件名、添付ファイル名は思わず開きたくなるものが使われている（IIJ「wizSafe Security Signal 2021年1月 観測レポート」より引用）

　メールの添付ファイルを開いたら、それだけで侵入完了となります。できればこうなる前に、社内のどこに相談すればいいのか、あらかじめルートを決めておきましょう。もしその相談側に立つ方が本コラムを読んでいただいたのならば、ぜひ「誤報であってもいいから普段と違うメールが届いたらすぐに連絡を！」という呼び掛けを行うとともに、できる限り分かりやすい報告方法を確立してください。それだけでも、防げるマルウェアは増えるはずです。

　多層防御やゼロトラストといった仕組みが注目されています。怪しいメールとそうでないメールの見分けが付かない以上、従業員の添付ファイル実行を防ぐことはできません。その対策ももちろん必要ですが、組織のメンバー全員が「自分が標的になっているかもしれない」という意識を持つことも、十分セキュリティ対策として有効だと思います。

　自分だけは安全という考えを捨てること。これは今日からできるセキュリティ対策であるはずです。

⇒ 新着ホワイトペーパーをチェックする

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！