ホテルWi-Fiは結局キケン？ つないだ瞬間に企業アカウントが狙われるワケ：新手の手口を解説（2/2 ページ）

[＠IT]

「VPNにつなぐまで」をどう守るか　企業に求められる対策

　ReliaQuestは企業に対し、社用端末への常時接続型フルトンネルVPNの適用を推奨している。特に、VPNトンネルが確立するまでインターネットへの直接接続を許可しない構成にすることで、公共Wi-Fiのゲートウェイを経由したDNSポイズニングなどの影響を抑えられるとしている。

　また、必要のない環境ではWPADを無効化し、プロキシ認証ログから未知のホストへの接続など、不審な通信を調査することも推奨している。

　Microsoft Entra IDでは、条件付きアクセスポリシーを利用してデバイスコード認証を制限することも対策になる。特に企業アカウントについて、不要な認証方式を許可しないことが重要だ。

　従業員教育も必要になる。公共Wi-Fiの認証画面では、表示されたURLだけを見て正規のWebサイトと判断するのではなく、認証操作そのものに不審な点がないかどうかを確認するよう周知する必要がある。

　今回の事例が示すのは、「公共Wi-Fiだから危険」という単純な話ではない。攻撃者にとって狙うべき対象が、接続する企業端末そのものではなく、端末とインターネットの間に位置するゲートウェイになり得ることだ。

　企業が公共Wi-FiでVPNを利用する場合も、「VPNを使っているから安全」と考えるだけでは不十分だ。VPNが確立する前の通信をどう扱うのか、DNSをどこで解決するのか、不要な認証方式を許可していないかどうか――ネットワークと認証を分けず、一連の攻撃経路として見直す必要がある。