オンライン教育を脅かす攻撃【後編】

学校がサイバー攻撃の標的になりやすい“深刻な理由”

「教育機関は攻撃者に狙われやすい」とセキュリティの専門家は指摘する。それはなぜなのか。オンライン教育の導入で新たなセキュリティ問題に直面する教育機関が、今知っておくべき現実を整理する。

公開 2021年05月06日 05時00分

更新 2022年10月05日 10時07分

著者

Arielle Waldman

[TechTarget]

印刷する連載新着通知を受け取る

　新型コロナウイルス感染症（COVID-19）の流行で、教育機関は対面授業を避け、オンライン教育への移行を迫られた。それを受けてオンライン教育システムを急きょ用意した教育機関には、さまざまな脆弱（ぜいじゃく）性が生じた。

　攻撃対象領域が拡大していることへの認識不足も懸念事項だ。「オンライン教育ツールを実際に導入している教職員の間では、この点に対する理解があまり進んでいない」と、エンドポイントセキュリティベンダーMorphisecでセキュリティ戦略部門バイスプレジデントを務めるアンドリュー・ホーマー氏は指摘する。

併せて読みたいお薦め記事

ランサムウェア攻撃に対抗する教育機関

コロナ禍で変わる教育

　「教員は、セキュリティリスクが高まる前触れがどのようなものかを理解していない」とホーマー氏は語る。教育機関がセキュリティ対策をしていないコミュニケーションツールを使用したり、更新やパッチが適用されていないPCが教育機関外に配置されたりしている点を考慮すると、既に教育機関のPCが攻撃を受けていても驚きではない。

学校が攻撃者に狙われやすい“あの理由”

　実際に「Zoom」などのWeb会議ツールを標的にした攻撃が相次いでいる。これまでWeb会議ツールを大規模で使用したことがない教育機関はセキュリティ対策が不可欠だ。「気掛かりなのは、教育機関がWeb会議ツールへの攻撃に対抗するための予算の増加やスタッフの増員をしていないことだ」とホーマー氏は懸念を示す。

　Morphisecは、セキュリティ研究者がZoomを攻撃するデモを実施した。これはエンドユーザーに知られることなく資格情報を盗み取り、Web会議を盗聴するというものだ。ホーマー氏は「これまでWeb会議ツールはビジネス用途やミッションクリティカルな用途であまり使用されてこなかったため、総じてセキュリティ対策が甘い」と説明する。

　K-12（幼稚園から高等学校までの教育機関）が標的になりやすい理由は「セキュリティ対策が弱いことだ」と、セキュリティベンダーSonicWallのCEOビル・コナー氏は指摘する。コナー氏によると、教育機関は必ずしもサイバーセキュリティやバックアップ運用が得意ではない。その上、教育機関が利用するシステムの所在は内部にとどまらず、クラウドサービスなど外部にも広がっている。

　「問題はK-12の資金不足に帰着する」とコナー氏は考え、その解決策としてネットワークのセグメント化（小規模なネットワークへの分割）が有効だと指摘する。それぞれに適切な権限を設定することで、エンドユーザーの不要なアクセスを減らし、セキュリティを強化できると同氏は説明する。

　ホーマー氏が憂慮するのは「教育機関がオンライン教育用システムの立ち上げと稼働を急いだ」点だ。「経営層を含むさまざまな人がランサムウェアに関心を持っている一方で、ランサムウェア攻撃を防ぐための適切な計画を用意していない。オンライン教育を実現することに大きく注力したからだ」と同氏は語る。

　攻撃者は、教育機関において校務システムへのパッチ適用に不備があることや、Web会議ツールのセキュリティ対策が十分でないことを理解している。「攻撃者には攻撃者なりのビジネスモデルがある。強固な多層防御を敷くシステムを狙うよりも、既知の脆弱性を利用する方がずっと簡単だ」（ホーマー氏）