Microsoft 365メール暗号化に“解読可能”な脆弱性　利用中止でも消えない危険

暗号化されたメールの内容を攻撃者が解読し得るという、Microsoftのメール暗号化ツール「Office 365 Message Encryption」の脆弱性。企業はどのような防御策を講じるべきか。そもそも防御策はあるのか。

公開 2022年11月16日 08時15分

著者

Alex Scroxton

[TechTarget]

印刷する連載新着通知を受け取る

　セキュリティベンダーWithSecure（F-Secureの企業向け部門が独立）は、Microsoftの「Office 365 Message Encryption」（OME）に深刻な脆弱（ぜいじゃく）性があると発表し、注意を呼び掛けている。OMEは、Microsoftのオフィススイート「Microsoft 365」（Office 365）で利用可能なメール暗号化ツールだ。この脆弱性を悪用すると、攻撃者は暗号化されたメールの内容を解読できる恐れがあるという。OMEを使用している企業はどうすればいいのか。そしてMicrosoftの動きは。

対策は「OMEをやめる」　それでも残る“あの懸念”

併せて読みたいお薦め記事

連載：「Office 365 Message Encryption」の脆弱性と対策

前編：Microsoft 365のメール暗号化を“無意味“にする脆弱性　その危険性とは

脆弱性の知識を深めるには

　OMEが使っている暗号化技術は、繰り返し出てくるブロック（メールの一部）を全て同じ暗号文に変換する。そのため攻撃者は、一定の量のメールを入手すれば、暗号化の構造から内容をある程度推測できるという。WithSecureのセキュリティコンサルタントを務めるハリー・シントネン氏によると、企業にとっては残念ながら有効な対策がない。「そもそもメールを流出させないことが大切だ」（シントネン氏）

　シントネン氏によると、OMEの脆弱性は特に取引先との契約や国・地域のルールによって、プライバシーを順守しなければならない企業にとって懸念材料になる。OMEの脆弱性悪用によって情報が漏えいすれば、欧州連合（EU）の「GDPR」（General Data Protection Regulation：一般データ保護規則）」や、「CCPA」（California Consumer Privacy Act：カリフォルニア州消費者保護法）に触れる可能性がある。

　MicrosoftはWithSecureから受けた報告について「脆弱性とは見なさず、セキュリティ対策を実施する必要はない」と述べたと、WithSecureは明かす。そのためベンダーがIT製品の脆弱性を公開・修正したことを示す「共通脆弱性識別子」（CVE：Common Vulnerabilities and Exposures）は発行されなかったという。

　Microsoftの方針を受けWithSecureは「企業にできる唯一の対策といえば、OMEの使用を直ちに停止することだ」と言う。ただしOMEの使用を停止しても、過去にOMEで暗号化されたメールを攻撃者が入手するリスクは残るとシントネン氏は指摘する。

Computer Weekly発　世界に学ぶIT導入・活用術

米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。

印刷する

Computer Weekly発　世界に学ぶIT導入・活用術

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

Alex Scroxton

米TechTargetの電子週刊誌『Computer Weekly』でセキュリティ分野の記事編集を手掛ける。同社の電子月刊誌『MicroScope』で記者を務めた後、2014年5月からComputer Weeklyの編集に従事。2003年、サセックス大学（University of Sussex）で社会人類学の学士号を取得している。