事例で分かる、中堅・中小企業のセキュリティ対策【第12回】
実は危険な“無料Wi-Fiスポット”、カフェでのモバイルワークに必須のセキュリティとは（1/2 ページ）
カフェやホテルが提供する無料の公衆無線LANを利用してモバイルワークをするのは便利なもの。ただし情報漏えいのリスクが潜んでいることを留意しなければいけません。
連載について
情報セキュリティ対策をしたくても、ITに詳しい人が社内外にいなくて困っている中堅・中小企業は多いのではないでしょうか。「知識不足」と「ヒト、モノ、カネ不足」の問題が目の前にあっても、対策は待ったなしの状況。予算を握る上司を説得するために、サイバー攻撃の事例を紹介しながら、その効果的な対策につながる情報セキュリティ製品を分かりやすく解説します。
あなたは会社や自宅で、無線LANを利用していますか。普段からノートPCやタブレットなどを持ち歩いている方は、社内の無線LANを利用しているケースがあるかもしれません。
オフィスにケーブルを張り巡らせる工事が必要な有線LANに比べると、無線LANは部分的なケーブル配線工事のみで済むというメリットがあります。近年では、大容量データや動画などもストレスなく利用できるほどに無線LANの通信速度は向上しています。モノのインターネット（IoT）時代では、無線LAN通信は当たり前となり、スマートフォンのパケット通信量を節約するために会社や自宅、公共施設の無線LANを利用するといった状況も一般的です。今や無線LANは社会インフラとしての地位を確立しました。
かくいう筆者も、持ち歩いているノートPCを有線LANに接続することは、ほとんどなくなりました。試しに、直近1カ月（30日）の無線LAN利用状況を調べてみると（注1）、およそ13GBものデータを無線LAN経由で利用していました。動画配信などデータ容量を大量にやりとりするサービスを利用しているわけではないのにこの通信量ですから、今後もますます通信量が増えていくことでしょう。
注1：無線LANの利用状況は、「Windows 10」の場合、歯車アイコンの「設定」→「ネットワークとインターネット」→「データ使用状況」で確認できます。
ユーザーにとっては手軽に簡単、すぐ使えて便利な無線LANですが、セキュリティ対策が脆弱（ぜいじゃく）なまま利用しているケースが後を絶ちません。
併せて読みたいお薦め記事
無線LANのセキュリティ対策
キー入力やタッチ操作を盗み見られる「キーロガー」対策
まだまだ知られていない、無線LANの脆弱性
無線LANの脆弱性を突いた攻撃手法の1つに「ウォードライビング」があります。これは車でぐるぐると街をドライブしながら、無線LANの電波をキャッチし、セキュリティが脆弱な無線LANアクセスポイントを探しては侵入を試みる行為です。万が一攻撃者に侵入されてしまった場合は、一般ユーザーがネットワーク環境の内部にアクセスするのと同じ状態になってしまうため、非常に危険です。
脆弱なアクセスポイントは残念ながら多く存在します。無線通信を暗号化していないような、論外なアクセスポイントもありますし、脆弱性が認識されている無線通信のセキュリティプロトコル（規約）の1つである「WEP」（注2）を使い続けているケースもあります。WEPの脆弱性については総務省から注意喚起も出ていますが、知らないまま利用を続けている法人、個人は存在します。知らないことには対策のしようがなく、結果として情報漏えいにつながったり、踏み台にされて攻撃に加担したりしてしまうケースが出てくるのはとても残念なことです。
注2： WEPで使う暗号鍵はとても短く（英数半角5文字～13文字）、攻撃者が解読ツールを用いるとすぐに鍵を見破られてしまう問題があります。
無線LANのセキュリティを強化したいのであれば、セキュリティプロトコルとして何を使っているのかを把握し、WEPが使われているのであれば、それを一刻も早くやめ、WPA2などのセキュリティプロトコルに変更することを強くお勧めします。
参考：1
参考：2
無線LAN（Wi-Fi）暗号化における脆弱性に関する注意喚起（総務省）
本記事執筆中に、WPA2の脆弱性を指摘する情報が公開されました。WPA2の通信を盗聴される恐れがある、というものです。対策としては、端末側（Windows、iOS、Androidなど）ならびに無線LANルーターやアクセスポイントなどを最新状態にアップデートすることです。Webサイトとの通信でhttpsを使っている場合や、VPN通信の場合はデータが盗聴される可能性が低く、安全性を担保できますので、無線LAN通信時にこれらを使用しているかどうかを確認するのも良いでしょう。
事例で見る、無料Wi-Fiスポットの危険
駅や飲食店、宿泊施設など、公共施設が提供する無料の公衆無線LAN（以下、Wi-Fiスポット）も一般的なものになりつつあります。しかし業務にWi-Fiスポットを利用したことで、情報漏えいを起こしてしまったケースもあります。次の例を見てみましょう。
事例：公共施設の無料Wi-Fiスポット利用で、企業の機密情報がダダ漏れに
出張や外出が多い敏腕営業部長。プレイングマネジャーとしてお客さまの評価も高く、実績も上げている。経営層からの信頼も厚い。会社から支給されているノートPCを持ち歩き、いつでもどこでも仕事をしている。
ある日、珍しく社長から電話が入った。「先日の経営戦略ミーティングの際に出た話を、会社のメインビジネスとして真剣に考えてみたいからメールで送ってほしい」という内容だった。
役員への昇進チャンスが来た、と思った。すぐに内容をブラッシュアップしようと思い、無料Wi-Fiスポットが利用できる、とある公共施設に入った。いつも持ち歩いているモバイルルーターを忘れていたのだ。ノートPCを立ち上げ、手早く資料をまとめる。会社の命運を左右する可能性がある。
メールソフトを立ち上げ、新しいメールが届いていないかどうかチェックする。メールソフトがサーバに接続し、新しいメールを次々とノートPCにダウンロードしていく。次に、仕上げた資料を社長に送付。画像を含んだデータだったため、送信に多少時間がかかった。
実はこの時、情報漏えいが起きていたのだ。会社の命運を作用する可能性のある機密情報が、何者かによって奪われてしまい、ライバル会社に先を越されてしまった。
漏えいした情報は、社長にメールで送付した資料だけではなかった。Wi-Fiスポット経由でダウンロードしたメール情報も何者かによって奪われていた。
この時に利用したWi-Fiスポットは、アクセスポイントとPC間のデータのやりとりが暗号化されていなかったのだ。機密情報にパスワードをかけることもなく、生データをそのまま送ってしまったため、無線LAN経由で何者かにデータが盗聴されてしまったのだった。
このケースの要点は次の通りです。
- 暗号化されていないWi-Fiスポットを使った
- PCとアクセスポイント間も暗号化されていなかった
- 送受信したメールデータも暗号化やパスワード処理を施していなかった
- 何者かに通信を盗聴されてしまい情報漏えいを起こしてしまった
公共施設や喫茶店などが提供しているWi-Fiスポットを使う場合は、このようなリスクが常に付きまとうことに十分に注意しなくてはいけません。
例えば、ビジネスシーンでもプライベートシーンでもコーヒーチェーン「スターバックス」を利用している方は珍しくないでしょう。スターバックスは無料のWi-Fiスポットを提供していますが、セキュリティ項目の注意書きに、次のような事項があるのをご存じでしょうか。
「at_STARBUCKS_Wi2」の無線LANは暗号化しておりませんので、秘匿性の高い情報を送受信する場合には、セキュリティを確保するSSLやインターネットVPNなどを用いて通信内容を保護することをお勧めします
場合によっては今回のケースのように、情報漏えいが起こる可能性があることに注意が必要です。
Copyright © ITmedia, Inc. All Rights Reserved.
事例で分かる、中堅・中小企業のセキュリティ対策
情報セキュリティ対策をしたくても、ITに詳しい人が社内外にいなくて困っている中堅・中小企業は多いのではないでしょうか。「知識不足」と「ヒト、モノ、カネ不足」の問題が目の前にあっても、対策は待ったなしの状況。予算を握る上司を説得するために、サイバー攻撃の事例を紹介しながら、その効果的な対策につながる情報セキュリティ製品を分かりやすく解説します。
この記事の著者
関連記事
新着ホワイトペーパー PR
-
技術文書・技術解説
[Jamf Japan 合同会社] MDMだけでモバイルセキュリティは十分？ 不足する対策を16項目でチェック -
事例
[Wrike Japan 株式会社] 世界的な家電メーカーが実践する「クリエイティブプロセス効率化」の方法とは？ -
事例
[Wrike Japan 株式会社] 世界的テクノロジー企業に学ぶ、プロセス標準化とプロジェクト納品自動化の秘訣 -
事例
[Wrike Japan 株式会社] ソニー・ピクチャーズ テレビジョンに学ぶ、次世代サービスデリバリーのヒント -
事例
[Wrike Japan 株式会社] ソミック石川に学ぶ、ICT浸透後に直面した「工数管理」の課題と解決策
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
2
膨らむAIコストに歯止め GitHubのマルチモデルルーターは何が違うのか
-
3
「データストレージの活用方法」に関するアンケート
-
4
AI全部入り「Microsoft 365 E7」に企業が二の足を踏む訳 移行意向はわずか4％
-
5
Anthropicが明かす AIは入力データを「どこまで覚えているのか」
-
6
「にゃんこ大戦争」インフラ“大引っ越し”の理由 なぜAWSからGoogle Cloudに？
-
7
「Microsoft一択」で本当にいいのか 知らぬ間にライセンス費用が膨らむ真相
-
8
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
-
9
「Microsoft 365」が乗っ取られる 跡形もなくMFAを破る手口
-
10
自社製半導体だけでは限界？ AmazonがQualcommに9兆円超を託す真意
ホワイトペーパーランキング PR
-
1
マンガで解説：「ゼロトラスト」「SASE」の必要性とメリット
-
2
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
3
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
4
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
5
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
6
国税庁の次世代基幹システム「KSK2」稼働開始に向けて、対応すべき変更点とは？
-
7
5分で分かる「セキュア大容量ファイル転送サービス」の機能とメリット
-
8
ドラマで分かる、標的型攻撃メールの被害を受ける企業と回避できる企業の分岐点
-
9
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
10
少額減価償却資産が40万円未満へ拡大、令和8年度税制改正で押さえるべき変更点
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー