− 第6回 −

盗聴や機密情報の悪用を防止する暗号化技術

キーロガーやスパイウェアで高まる情報の盗聴、流失のリスク

　盗聴のリスクはいたるところにあります。例えば、営業担当者が外出中にインターネットカフェなどから社内システムにリモートアクセスした際に、情報が盗聴されるリスクを指摘する専門家は少なくありません。セキュリティポリシーで禁じている企業は別にして、こうした不特定多数の人が利用する場所からアクセスする場合、キーロガーが仕掛けられていてID、パスワードが盗聴される危険性もあります。

　キーロガーは本来、パソコンのキーボード操作などを記録し、後で操作内容を反復したり、あるいは離席中に他人が勝手にキーボードを操作していないかどうか確認したりできる便利なツールです。しかし、悪用されると、ユーザーが入力したID、パスワードが簡単に盗まれ、不正アクセスの原因ともなりかねないのです。

　キーロガー対策としては、アクセスごとにパスワードを変更するワンタイムパスワードなどのユーザー認証方式の導入、キーロガーの動作を検出できるソフトの導入、キーロガーに対応したウイルス対策ソフトの導入などがあります。パスワードの盗用を防ぎ、対策ソフトを定期的に更新することでキーロガーによる盗聴、情報流失を防止することが可能なのです。

　また、キーロガーに情報を送信されないためには、ユーザー自身がインターネットカフェなど外部で使用したパソコンのCookieやファイルの削除、履歴やパスワードのクリアなどを行う必要があります。これらの操作は、Internet Explorerの場合、ツール→インターネットオプションで行うことができます。また、社内システムへのリモートアクセスに利用されるSSL-VPN（Virtual Private Network） 装置を、セッション終了時にアクセスの履歴やキャッシュ情報を消去する機能を搭載するタイプに交換するという方法もあります。

　スパイウェアによる個人情報流失のリスクも顕在化しています。スパイウェアは配布元が、ユーザーのパソコン内の情報やアプリケーションなどの使用状況を収集し送信するものです。たいていユーザーにとって魅了的な機能を持つフリーウェアと組み合わされており、フリーウェアと同時にインストールされてしまいます。広告をパソコンの画面にポップアップ表示するアドウェアの中にはスパイウェアもあります。フリーウェアや無料のコンテンツなどをダウンロードする際、アドウェアをインストールしてよいか同意を求められることがありますが、許諾書がわかりにくい表現だったり冗長だったりして、気づかずに同意しているケースが多いのです。中にはインストールの際に同意を得ない、さらに悪質なものもあるといわれます。スパイウェアから得られた情報がすべて悪用されるというわけではありませんが、作者のよくわからないフリーウェアや出所がわからない無料コンテンツのダウンロードには注意が必要だといえるでしょう。

　そもそも、ビジネスに関係ないコンテンツを社内ユーザーがダウンロードすること自体大きな問題といえますが、やっかいなのは、スパイウェアの中にはパソコンに変更を加えて異常な動作をさせたり、パスワードなどを盗み出して外部に送信するものがあることです。消費者からのメールを装って送信したメールの中にスパイウェアが含まれ、社員のパスワードなどが盗まれたケースもあります。

　対策としては、業務に関係のないコンテンツはダウンロードしないことはもちろん、スパイウェアを除去する専用ソフトやスパイウェアを検出するウィルス対策ソフトなどを活用し、スパイウェアの社内への侵入を防ぎ、排除することです。

いたるところにある盗聴のリスク