セキュリティのトレンド：電子メールが危ない：Inside-Out

[櫻庭秀次，IIJ]

メッセージングセキュリティの第一歩
リモート環境での活動にメールの利活用は欠かせない。しかし、そうした状況を逆手にとった攻撃も増えている。ここでは、メールを巡るセキュリティについて考えてみたい。

本記事は、株式会社インターネットイニシアティブの許可をいただき、「IIJ.news Vol.169」の「セキュリティのトレンド 2022 Spring　メッセージングセキュリティの第一歩」（2022年4月号）を転載したものです。そのため、用字用語の統一ルールなどが、＠ITのものと異なります。ご了承ください。

執筆者プロフィール

櫻庭 秀次
IIJ ネットワーク本部 サービス推進部
コミュニケーションシステムに関する研究開発に従事。特に快適なメッセージング環境実現のため、社外関連組織と協調した各種活動を行う。
M3AAWGの設立時からのメンバー。JPAAWG（Japan Anti-Abuse Working Group） 会長。迷惑メール対策推進協議会 座長代理、幹事会 構成員、技術WG 主査。
一般財団法人インターネット協会 迷惑メール対策委員会 委員長、客員研究員。

便利な環境が格好の標的に

　コロナ禍により社会環境が変化し、リモート環境での作業やコラボレーションが進んでいます。こうしたタイミングでさまざまな場所からインターネットに接続できる環境がある程度整ってきたことは、社会活動の継続のための有益なツールとして活用されていると同時に、インターネットが重要な社会基盤となっていることを実感する部分でもあります。

　しかしながら、インターネットの利用者や接続する機器が増えれば、それらを狙うような攻撃行為も増えてきます。

　有名ブランドなどを騙って偽のサイトに誘導し、ログイン情報や金銭につながるような個人情報を摂取するなりすましメール（フィッシング詐欺）が引き続き高い頻度で続いています。

　最近では、マルウェア（不正プログラム）に感染させることで、PCに保存されている情報を窃取したり、それらの情報を悪用して新たなマルウェア感染者を増やすといったなりすましメールも急増しています。ほかにもファイルを暗号化して解読と引き換えに金銭を要求するランサムウェアなど、その手口や対象も広がっています。

　特にランサムウェアは、暗号化されたファイルが顧客の個人情報など重要なものであった場合、支払いに応じなければインターネット上に公開すると脅迫するなど、より悪質化しています。

　また、重要なデータが暗号化され参照できなくなってしまうことで、業務遂行に影響をきたし、経営上の問題にまで発展する可能性もあります。

　メールは組織内部に直接情報を届けることができるほぼ唯一の手段であり、多くの組織で利用されています。届ける情報も、単なるテキストメッセージだけでなく、添付ファイルのようにPCで実行可能なプログラムなど、多様なデータを運ぶことができます。

　PC利用者間でのデータも共通化され、相互利用できるようになりましたが、そうした便利な環境は、マルウェアやそれへの感染を促すデータの送信者にとって都合が良い環境となっています。

コミュニティへの参加が対策の第一歩

　悪質な行為を行なう側は、ビジネス（金銭）が目的なので、特定の手法に対する対策を講じたとしても、また新たな手法を生み出して攻撃を続けてきます。

　どこまで対策すればいいのか聞かれることもありますが、残念ながら、先を見通した完全な対策を現時点で講じるのはむずかしいでしょう。将来的にも有効な対策があったとしても、それは使い勝手の面で問題があったり、制約が強すぎてインターネットの可能性を狭めてしまう対策であるかもしれません。

　とはいえ、なるべく被害を受けないよう、状況を確認しつつ、何かあった場合には、素早く対策を講じていくことは必要かつ可能です。新たな手口は世界のどこかで試みられているため、そうした状況をいち早く把握し、その危険性や対策を察知・検討するためにも、グローバルなコミュニティに参加して情報共有や互いの知見を出し合うことも重要です。

　例えば、メッセージングセキュリティの分野においてIIJは、M3AAWG（Messaging, Malware and Mobile Anti-Abuse Working Group）に創設時から参加しています。ここでは、なりすましメール対策に関する標準的な技術仕様の発端や思いつきレベルの発想（笑）まで、さまざまなアイデアを持ち寄って議論しています。

　M3AAWGには多くのサービス運用者も参加しており、新しく導入を予定している対策やその後の状況を知る機会にもなっています。そして、そこでの成果がIIJのサービスにも反映されています。

　メッセージングセキュリティの分野で、こうした活動とサービス提供の両方を実践していくことは相乗的な効果もありますが、リソース面などで簡単ではありません。全ての組織が同じような活動をすることはむずかしいので、できる範囲で活動に参加し、状況を把握して適切な対応が何かを理解していくことが大事です。

　IIJはインターネットの主要なサービスを長く提供してきたと同時に、国内外の多くのコミュニティに積極的に参加してきた経緯があります。今後も安心・安全なサービスを提供するために、こうした活動を継続していきます。