2要素認証があるから大丈夫……というわけでもなく

　おそらく多くの組織で、フィッシング対策として「2要素認証」が導入されていると思います。これはSMSやアプリのプッシュ通知で6桁程度のワンタイムパスワードを送信し、IDとパスワード、そして携帯電話に届くワンタイムパスワードをチェックすることで、本人かどうかを認証する仕組みです。パスワードは何らかの方法で漏れていたとしても、従業員が持つデバイスがなければワンタイムパスワードが届かないということで、より厳密な本人確認ができるのです。

　ところが、最近ではこの2要素認証も完璧ではないことが分かっています。仕組み上はかなり強固ですが、攻撃者の狙いはやはり「人」です。

　この2要素認証の仕組みに、「人の脆弱性」を使って入り込んでみましょう。ID、パスワードが既に分かっているわけですから、その人の携帯電話に、事前に「情報システム部ですけど、いまテストをしていまして、これからSMSに送られる6桁のパスワードを聞いてもいいですか？」と電話が来ていたとしたら、あなたはどう対応しますでしょうか。上司名やあなたの所属がぴたりと当てられていたら、あまりおかしいと思わず教えてしまうかもしれません。

　こういった事例はどうでしょう。攻撃者が電話することなく、ID／パスワードの入力を繰り返し行い、あなたのアプリに「ログインしていいですか？　　OK／キャンセル」という通知が際限なく送られ、OKを押すまで止まらなかったら、いつか面倒くさくなりOKを押してしまうかもしれません。その上で電話が来て「情報システム部ですけど、いまテストをしていて……」と言われれば、私でもOKを押すと思います。

　こういったことを想定すると、単に「見分けない」という言葉だけでは対応が難しいことも分かるかもしれません。対処としては、イレギュラーなものを自分で判断するというよりも、何かおかしなことがあれば、しかるべきところに報告をする、といった方が良いかもしれません。

　フィッシング対策はかつてのウイルス対策ソフトのように「フィッシング対策ソフト」のような便利なものがあるわけでもなく、組織、個人が一体となり、敵の手法を知り、傾向をしることで初めて対抗ができるものです。もはやこれは、ITとは無関係の「詐欺」対策と考えるべきでしょう。かつて一世を風靡した「オレオレ詐欺」「振り込め詐欺」と同様、地道な周知が重要です。製造業は裾野が広いため、どうしてもサイバー攻撃や詐欺に狙われやすい部分です。ぜひ、皆さんも敵を知り、己を知ることで対策をもう一歩先に進めていってください。

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！