皆さんの会社では、不審なメールへの対応について、社内向けの注意喚起やセキュリティ教育を受けたことがあるだらうか。

先日、PHPの脆弱性問題について投稿した。今回は、セキュリティシリーズの第2弾として、私たちの身近にある「メール」を取り上げたい。

コンピュータウイルスなどのマルウェアに感染するきっかけのひとつに、メールを利用した攻撃がある。

不特定多数の人にメールを送りつけ、添付ファイルを開かせたり、本文に記載したURLをクリックさせたりする。あるいは、特定の企業や組織の関係者を装い、相手を信用させてから不正な操作をさせる手口もある。

攻撃する側は、人が思い込みやすいところを突いてくる。

たとえば、差出人の名前に「伊藤」と表示されてゐたとしよう。

伊藤という姓は珍しくない。受信者が取引先の「シロガネ商事の伊藤さん」から届いたメールだと思い込み、内容を十分に確かめずに開いてしまうかもしれない。

また、「info」という文字も、会社の問い合わせ窓口や自動配信メールなどでよく使われる。見慣れた表示だからといって、それだけで安全とは限らない。

もちろん、差出人の名前が伊藤であることや、アドレスに「info」が含まれてゐること自体が危険なのではない。問題は、表示された名前や見慣れた文字だけで、相手を信用してしまうことである。

攻撃する側は、そうした人の思い込みを巧みに利用するのだ。

不審メールを、受信する前に見つける

こうした不審メールに対して、会社の情報システム部門では、さまざまな対策を講じてゐる。

たとえば、メールの受信時にセキュリティシステムで検査を行い、不審と判断したメールを隔離したり、迷惑メールとして振り分けたりする仕組みである。

判断の材料には、次のやうなものがある。

  • セキュリティシステムが、既知の不正な送信元や危険な添付ファイルなどを検知した
  • メールの内容や特徴が、あらかじめ設定された不審メールの判定ルールに合致した
  • 過去に確認された攻撃メールの特徴と一致した

以前の記事「メールが届かない――原因を調べるのは送信側か、受信側か」でも触れたが、メールが相手に届かない原因のひとつに、こうしたセキュリティ対策による隔離や拒否がある。

ただし、すべての不審メールを事前に見つけられるわけではない。

攻撃の手口は変化するし、正規のメールに見えるやう巧妙に作られたものもある。そこで、受信後に不審な特徴が見つかった場合に、情報システム担当者へ調査を促す仕組みを設けてゐることもある。

さらに、実際にメールを受信した従業員から、「このメールは怪しいので調べてほしい」と申告を受け、情報システム担当者が調査することもある。

こうした場合、社内の担当者だけでは安全性を判断できないこともある。必要に応じて、セキュリティ製品の提供元や専門事業者などに解析を依頼する。

つまり、不審メール対策は、システムに任せておけばすべて解決する、といふものではないのである。

正常なメールまで止めてしまうことがある

ここで、もうひとつの問題がある。

不審なメールを水際で食い止めようとすれば、本来届くべき正常なメールまで、誤って隔離されてしまうことがある。

たとえば、取引先から送られた正規のメールが、セキュリティシステムの判定によって隔離される。受信した側はメールが届いてゐることに気づかず、送信した側は相手に届いたものと思ってゐる。そんな行き違いが起きる可能性もある。

利用者からすれば、必要なメールが届かないのだから、困った話である。

しかし、だからといって、メールのセキュリティ設定を安易に緩めるわけにもいかない。

仮に不正なメールを見逃し、従業員が添付ファイルを開いたり、誘導されたサイトで認証情報を入力したりすれば、マルウェアへの感染や情報漏えいなどにつながるおそれがある。被害の範囲によっては、業務の停止や復旧作業にまで発展しかねない。

そのため、情報システム担当者は、メールが届かないという利用者の困りごとにも対応しながら、システムの安全性を維持しなければならない。

隔離されたメールが本当に危険なものなのか、それとも正常なメールなのか。必要に応じて送信元やメールの内容を確認し、セキュリティ上の問題がないと判断できて初めて、利用者に届けられる場合もある。

安全性を高めれば利便性に影響が出ることがあり、利便性を優先すれば危険を見逃すおそれがある。

この両者のバランスを取りながら、日々の運用を続けてゐるのである。

最後の防波堤は、利用者一人ひとり

ここまで書いてきたやうに、不審メールへの対策は、セキュリティシステムを導入すれば終はり、というものではない。

システム側で不審なメールを検知する。情報システム担当者が、判定されたメールや利用者からの申告を調べる。そして、利用者自身も、届いたメールを安易に信用しない。

こうした複数の対策が組み合はさることで、セキュリティ事故のリスクを下げてゐるのである。

では、私たち利用者は、何に気をつければよいのだらうか。

まず、差出人の表示名だけで相手を信用しないこと。メールアドレスや本文の内容に不自然な点がないかを確認すること。そして、心当たりのない添付ファイルを開いたり、不審なURLをクリックしたりしないことである。

ただし、見た目が自然で、差出人のアドレスも正規のものに見えるメールが、必ず安全とは限らない。少しでも不審に感じたら、メールに記載された連絡先ではなく、普段から使ってゐる連絡手段で相手に確認するか、社内の情報システム担当者へ相談するのがよい。

もし、うっかり添付ファイルを開いたり、リンク先で情報を入力したりしてしまっても、隠さず、速やかに社内の担当者へ報告してほしい。早く報告することが、被害の拡大を防ぐ助けになる場合がある。

堅固な情報システムを構築し、担当者が細心の注意を払い、粘り強く確認を続ける。それでも、すべての危険を完全に取り除くことは難しい。

だからこそ、システムを管理する側だけでなく、利用する側にも、セキュリティを守る役割がある。

何気なく届いた一通のメール。

その一通を開く前に、ほんの少し立ち止まって考へる。その小さな習慣が、自分自身だけでなく、会社や自治体、ひいては一緒に働く人たちを守ることにもつながるのである。