メールセキュリティのコラム

メールの誤送信による情報漏えい

情報漏えいの原因の約8割は内部の人間によるものだと言われており、その中でも一番多い物は、実は誤送信による情報漏えいです。添付ファイルや、宛先を間違えて、本来送るつもりのない相手や送るつもりのないファイルを送ってしまった場合や、複数の人に同報メールを送る際に、BCCではなくCCを使ってしまい、アドレスが流出するといった場合があります。

メールや添付ファイルの暗号化やパスワード設定を行ったり、送信前の再確認を行うことで、被害を減らすことはできますが、頻繁にメールを用いる場合、毎回手動でパスワードを設定するのは手間ですし、ヒューマンエラーをゼロにすることはできません。

最近流行の標的型攻撃メール

会社内部のミスによる情報漏えい以外では、外部からの攻撃による情報漏えいがあります。以前は不特定多数を狙ったマスメール型が主流でしたが、最近は、特定の企業、特定の情報を狙った標的型攻撃メールが増えてきています。この標的攻撃型メールによる情報漏えいで有名な物が、2015年におこった、日本年金機構の情報漏えいです。

標的型攻撃メールは、特定の攻撃手法を持つわけではなく、むしろ、標的に攻撃を成功させるために、ありとあらゆる手法を使ってくるため、従来のウイルス対策ソフトでは、ほとんどシャットアウトできません。そもそも、日本語がおかしいなどの程度の低い標的型攻撃メールであれば、比較的簡単に区別できますが、文章に違和感もなく、関係機関や取引先を装ったものであれば、よほど注意深く観察しなければ発見は難しいでしょう。中には、関係機関や取引先からメールを盗み出し、その文章を流用してくるケースもあります。こうなっては、事前に発見するのはほぼ不可能です。このため、本来の攻撃目標を攻撃するための準備として攻撃される場合もあり、中小企業で大した情報は持ってないから、攻撃をうける心配はないとはいきません。

従来のウイルス対策ソフトには引っかからず、なりすましのメールかどうかの判断を、受信者に任せていては、ヒューマンエラーも起きますし、そもそも見分けが困難であるため、対策としては不十分です。また、標的型攻撃メールは、数ヶ月から、長い場合は年単位をかけて、1つの標的に対して、手を変え品を変え攻撃を仕掛けてきます。送られてくるメールは全て無視するなどの手段をとればともかく、そうでもしない限り、全てのなりすましメールを受信者がさばききることは、ほぼ不可能です。最近は、対策ソフト等も進化しており、過去にあった標的攻撃型メールの手口には対応してきていますが、日々新しい攻撃手法が見つけられ、対策が追いついていないのが現状です。そのため、標的型攻撃メールの標的になった時点で、攻撃を受けることは避けようがないといわれることもあります。

メールのトラブル対策にメールセキュリティ

上記のようなメールトラブルに対応するため、ウイルス対策ソフトとは別に、メールセキュリティソフトというものがあります。

誤送信防止の為のメールセキュリティソフトの中には、設定に応じて送信時に誤送信防止の確認画面を出す、暗号化やパスワードの設定を自動で行うなどの機能があるものもあります。メールを送る際、第三者の許可が必要なシステムや、特定の条件に該当するメールを上司やシステム管理者にも自動で送信するシステム、送信メールをサーバーに一時的に保存し、不正なメールであれば、それを追跡するシステムなどもあります。

標的型攻撃のメールセキュリティソフトは、受信メールを過去のメールと照らし合わせ、受信メールに不審な点があった場合は、そのメールを隔離すると同時に不審点をリストアップ、その後受信するか否かを選択させることによって、ヒューマンエラーを減らしてくれるものがあります。また、管理者が訓練用に擬似の標的型攻撃メールを送り、その際の受信者の対応を集計し、受信者のメールセキュリティ意識を高める訓練を行うことの出来るシステムや、メールに記載されているURLや添付されているファイルを、あらかじめサンドボックスで開封し、安全を確かめるシステムなどもあります。

前述のように、執拗な標的型攻撃メールの攻撃から逃げ切るのは、ほぼ不可能であるという前提の下、攻撃をかわすための入り口の対策だけでなく、攻撃を受けた後の被害を最小限に抑えるための出口の対策もあります。例えば、攻撃された後の情報の流出を防いだり、攻撃を受けたマシンを踏み台にして他のマシンへ攻撃されるのを防ぐため、外部への通信を制限したり、操作ログを保存して不審な操作がないかを確認することが出口の対策になります。もし、情報が流出してしまったときも、いつ、どんな情報が、どこに、どれだけ流出したかを追跡することが出来れば、その後の対応がしやすくなるため、これも出口の対策と言えるでしょう。また、システム面の対策だけでなく、利用者に標的型攻撃メールの対策訓練を行ってくれるサービスもあります。