エンゲル氏は、モスクワに到着して「ほぼすぐ」にコンピュータがハッキングされたと報告している。同氏がロシアに持ち込んだのは、米Appleの「MacBook Air」、Windows 7を搭載する中国Lenovoの「ThinkPad」、Androidスマートフォンだ。番組では、エンゲル氏がオリンピック関連のWebサイトにアクセスするや否や、何も端末を操作しないうちから、すぐにマルウェアのターゲットにされたように報じられた。

　この放送を受けて、米セキュリティコンサルティング企業Errata Securityの創業者で著名なセキュリティ研究者であるロバート・グレアム氏は、「エンゲル氏はマルウェアをホスティングしているサイトに故意にアクセスし、実質的には自ら進んでハッキングされた」と批判。その後、NBCの広報担当者はグレアム氏の批判の一部に反論した上で、「番組の目的は、ITに詳しくない人たちがいかに簡単にサイバー攻撃の犠牲になり得るかを示すことだった」と説明している。

　エンゲル氏の報告内容を検証する実験で技術アドバイザーを務めたカイル・ウィルホイト氏は、この実験の詳細について記した文書において、「番組の編集段階で事実がゆがめられた」と説明している。ソフトウェアセキュリティベンダーのトレンドマイクロで脅威研究者を務めるウィルホイト氏によれば、「番組では、エンゲル氏が何も操作しないのにシステムのセキュリティが破られたかのように見えたこと」が問題だという。さらに、実験で使用した新品のハードウェアはアップデートも一切行われていなかったという。つまり、エンゲル氏は本来なら攻撃回避に有効だったはずの「基本的なセキュリティ対策」を全て無視していたことになる。

　「エンゲル氏の報告は、データセキュリティの幾つかの問題点について認識を高める役割は果たした。だが、やや誤解を招きかねないやり方だった」。情報セキュリティ専門家団体ISACAのCEOを務めるロン・ヘール氏は、そう指摘する。同氏によれば、エンゲル氏は公共のWi-Fiネットワークを使用していたことから、報告されている攻撃手法はロシアに限らず、世界中のどこでもあり得るものばかりだという。

　ヘール氏によれば、公共のWi-Fi接続は常にリスクを伴う。何しろ、そのネットワークがどのように管理されているのか、ネットワークデバイスが定期的に更新されているのか、ネットワークが過去にセキュリティを破られたことがあるのかといったことは、ユーザーには一切分からないからだ。

　「自分が使っているWi-Fiネットワークの構成など、ユーザーには知る由もない。地元のコーヒーショップであれ、小売店であれ、どこにいても同じだ。とにかく、そうした情報は知りようがない。自分がリスクにさらされており、メッセージが盗み見されたり、システムのセキュリティが破られたりしやすい状況に置かれていることを認識しておく必要がある。システムがどの程度しっかり管理されているのか、ユーザーには知りようがない」と、ヘール氏は語る。

　VPN（仮想プライベートネットワーク）ベンダー、米CryptoSealのCEO、ライアン・ラッキー氏も同じ考えだ。「確かに、旅行者は国外で普段より多くの脅威に遭遇するかもしれない。だが大半の交通事故が自宅から数キロメートル内で起きるのと同様に、国外でネットワークに接続するときより、地元のなじみのカフェでWi-Fiネットワークを利用するときの方がセキュリティを破られる可能性は高い」と、ラッキー氏は指摘する。

　海外滞在中にデバイスを保護する方法として、ラッキー氏は旅行者に対し、携行するコンピュータデバイスの数を極力減らすようアドバイスする。特にロシアと中国に行く場合はなおさらだという。また、端末で動作しているソフトウェアを全て最新版にアップデートしておくことも重要という。

　データセキュリティを心配する人々には、「データとアプリケーションのバックアップを取り、旅行中は無関係なデータとアプリケーションを全て削除し、帰国後に再インストールする」という方法をラッキー氏はアドバイスする。ただし同氏は、大半のユーザーはここまで徹底したセキュリティ対策は講じないであろうことも認めている。

BYODや政府による監視が勤務先のネットワークにまでリスクを拡大

　理想的には、ビジネスユーザーは外的なリスクの有無にかかわらず、サイバーセキュリティの基本を熟知しておくのが好ましい。BYOD（私物端末の業務利用）が広まるにつれ、セキュリティが破られたモバイル端末を踏み台にして国内外の攻撃者が社内ネットワークに侵入する危険性も高まっている。

　ラッキー氏は例として、2009年に起きたサイバー攻撃「オーロラ作戦」を挙げる。中国政府筋とみられる悪意ある関係者によって、米Googleの社内システムが侵入された事件だ。当時、Googleの中国でのサービスは、米国内にある同社のメインの社内ネットワークとは遮断されていたが、攻撃者はこの構成の裏をかいて、Googleの社内ネットワークへの侵入を果たした。中国に滞在中していたGoogleエンジニアらの端末のセキュリティを破り、エンジニアが米マウンテンビューのGoogle本社に戻り端末を社内のネットワークに接続した時点で、ネットワークへの侵入を成功させたのだ。

　ラッキー氏によれば、豊富な資金と高度な技術を持つサイバー犯罪グループであれば、同様の攻撃手法を使って企業のネットワークに侵入できるという。前述した公共Wi-Fiのリスクを考えれば、企業が同様の攻撃に遭う可能性は当然ながら、従業員が海外渡航する場合に限ったことではない。

　「知的財産を盗む目的であれば、私なら、中国への渡航者など狙わず、マウンテンビューやパロアルトなど、ターゲットが大勢いるエリアのインターネットカフェに行き、こっそりマルウェアを仕込む」と、ラッキー氏は語る。米カリフォルニア州のマウンテンビューやパロアルトには、多くのIT企業が本拠を構えている。

　CryptoSealのヘール氏によれば、海外出張がある企業にとっては、政府による監視の強化も問題につながる可能性があるという。現に、米国土安全保障省配下のセキュリティ機関であるUS-CERTは、「ロシアの連邦保安庁FSB（米国のFBIにあたる）には、電子的に送信されるあらゆる通信を監視、傍受、遮断することが合法的に認められている」として、ソチに向かう旅行者に注意を呼び掛けていた。

　「主な目的はテロリストの監視だが、ついでに他の情報を収集することにやぶさかでない国もある。ソチオリンピック期間は監視がさらに強化されると思ってまず間違いない」と、ヘール氏は語る。

　ラッキー氏も、「諜報機関による調査は、旅行者にとって、ひいてはその勤務先企業にとって問題になり得る」との考えだ。例えば、知的財産にアクセスできる人物が中国に入国する場合は、企業の最高ランクの幹部であれ、名門大学の大学院生であれ、誰であろうと厳しいセキュリティ検査を受けることになる。ノートPCなどのデバイスをスキャンするためにロック解除を強制され、従わない場合にはパスポートを没収すると脅されることも珍しくない。

　仮に、セキュリティ検査を無事に切り抜けられても、旅行者はさらに「悪意あるメイド」攻撃を受ける可能性もある。これは、ホテルが宿泊客本人の許可なく政府職員に部屋の捜索を認めるというもの。見つかった端末のHDDが手当たり次第にコピーされるケースも少なくない。

　さらにラッキー氏によれば、海外渡航者は電子機器をハードウェアレベルで改変される可能性もあるという。その場合、セキュリティソフトウェアによるスキャンでは何も不審な点は見つからない。

　「私なら、社内ネットワークにアクセスできる、管理されていないデバイスは、決して国外には持ち出さない。データのセキュリティが破られたり、誰かが何かしらの方法で社内ネットワークに侵入したりしないか不安だからだ。これは難しい問題だ。500ドルのデバイスを使い捨てのように扱いたい人などいない。二度と使えないのでは困る」と、ラッキー氏は語る。

　「端末からは、できるだけ多くのデータを消去しておくに越したことはない。後は、自分がターゲットにされないよう祈るばかりだ」と、ラッキー氏は語る。