最重要なのは、平時の事前準備

　では、このような事件が発生し得るという前提の下で、何ができたのかという点についても考えていきましょう。

　まずは基本です。恐らく多くの企業では、ウイルス対策に加えて「エンドポイント管理製品（EDR）」を導入していると思います。今回の事件では残念ながら、攻撃者が侵入し、内部で探索や暗号化を行った時点でも、検知できていなかったと推測されます。つまり、EDRを導入しているからといって安心できるわけではありません。EDRが効果を発揮するのはむしろ、侵入、探索、アカウント奪取といったサイバー攻撃がどのように行われたのかという「事後」の調査部分です。EDRは防御壁ではなく、事後対応のためのドライブレコーダーのようなものと考えてください。

　今回のポイントは、第四報で明らかになった侵入の原因です。報告書によると、「VPN機器の脆弱性が狙われたものではなく、正規IDとパスワードの不正利用だった」とされています。これはつまり、VPNを利用していた一般従業員のアカウントが、そのままなりすましに利用されたことが、侵入を許した原因となっているのです。

　残念ながら、ID／パスワードそのものが「いつ」漏えいしたのかまでは、今回の報告書では追い切れていません。サイバー攻撃者もこの部分は分業化されており、ID／パスワードを奪うだけの攻撃者から、実際にランサム攻撃を行う攻撃者へと、これらの情報が売買されています。つまり、今回使用されたID／パスワードは、はるか以前に奪われていた可能性もあるのです。

　ただ、もっと簡単な攻撃方法もあります。それは「よくあるパスワードを入力すること」です。会社のメールアドレスを入手し、あってはならないことですが、「123456」「abcdef」「qawsedrf」といった誰もが思い付くような弱いパスワードしか使われていなければ、恐らく簡単に侵入できてしまうでしょう。いったんVPNで内部に入ることができれば、その先がフリーパスという場合もあります。社内ネットワークだからこそ、脆弱性が残っていても放置されていたかもしれません。そう考えると、VPNのパスワードというのは「もう一つの社内システムのマスターキー」になり得るのです。

　このように考えると、従業員であるわれわれの責務も見えてきます。VPNを使う企業は多いのですが、そのパスワードについて、しっかりと考えているでしょうか。ぜひ、「自分が組織を守る」という心意気で、個人で使っているものとは異なる、長く複雑なパスワードを設定してください。これを従業員全員が意識していれば、もしかしたらターゲットにされることなく、被害を回避できるかもしれません。

脆弱性もだけど、認証／認可もね！

　今回のレポートを見ていると、組織が守らねばならない範囲が広がっていることがよく分かります。一般的に、外部から内部に侵入する手法としては「メール」や「ネットワーク機器の脆弱性」などがイメージしやすいと思います。しかし、もはや組織に関係するIDやパスワードといった「認証情報」は、秘密とはいえないほど漏えいしており、堂々と正面玄関からなりすまして侵入されることを想定しなければなりません。

　パスワードが漏えいしたことには、なかなか気付きにくいものです。であれば、パスワードだけに頼らず、ワンタイムパスワードや生体情報を組み合わせた「2要素認証」を活用することこそが、組織を守る手段となるはずです。また、「認可情報」に当たるWebブラウザのクッキーなどを守ることや、「InfoStealer」と呼ばれる認証／認可情報を盗み取るマルウェアからも、組織を守らねばなりません。これらについては、従来のセキュリティソリューションで対応していくことが求められます。

　特に、パスワードや2要素認証に関しては、従業員自身が意識しなければならないセキュリティ対策です。セキュリティベンダーの調査では、日本における2要素認証の導入率は他国と比べて著しく低く、20％だったという報告もあります。これを打破するのは、皆さん自身です。面倒に感じることもあるでしょうが、「事業を止めるよりはマシ」と考えることができれば、きっと来年（2026年）には状況が改善しているはずです。皆さんもぜひ、今回の報告書をチェックし、自らの行動を変えるきっかけとしていただければと思います。

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！