事例で分かる、中堅・中小企業のセキュリティ対策【第12回】
実は危険な“無料Wi-Fiスポット”、カフェでのモバイルワークに必須のセキュリティとは（1/2 ページ）
カフェやホテルが提供する無料の公衆無線LANを利用してモバイルワークをするのは便利なもの。ただし情報漏えいのリスクが潜んでいることを留意しなければいけません。
連載について
情報セキュリティ対策をしたくても、ITに詳しい人が社内外にいなくて困っている中堅・中小企業は多いのではないでしょうか。「知識不足」と「ヒト、モノ、カネ不足」の問題が目の前にあっても、対策は待ったなしの状況。予算を握る上司を説得するために、サイバー攻撃の事例を紹介しながら、その効果的な対策につながる情報セキュリティ製品を分かりやすく解説します。
あなたは会社や自宅で、無線LANを利用していますか。普段からノートPCやタブレットなどを持ち歩いている方は、社内の無線LANを利用しているケースがあるかもしれません。
オフィスにケーブルを張り巡らせる工事が必要な有線LANに比べると、無線LANは部分的なケーブル配線工事のみで済むというメリットがあります。近年では、大容量データや動画などもストレスなく利用できるほどに無線LANの通信速度は向上しています。モノのインターネット（IoT）時代では、無線LAN通信は当たり前となり、スマートフォンのパケット通信量を節約するために会社や自宅、公共施設の無線LANを利用するといった状況も一般的です。今や無線LANは社会インフラとしての地位を確立しました。
かくいう筆者も、持ち歩いているノートPCを有線LANに接続することは、ほとんどなくなりました。試しに、直近1カ月（30日）の無線LAN利用状況を調べてみると（注1）、およそ13GBものデータを無線LAN経由で利用していました。動画配信などデータ容量を大量にやりとりするサービスを利用しているわけではないのにこの通信量ですから、今後もますます通信量が増えていくことでしょう。
注1：無線LANの利用状況は、「Windows 10」の場合、歯車アイコンの「設定」→「ネットワークとインターネット」→「データ使用状況」で確認できます。
ユーザーにとっては手軽に簡単、すぐ使えて便利な無線LANですが、セキュリティ対策が脆弱（ぜいじゃく）なまま利用しているケースが後を絶ちません。
併せて読みたいお薦め記事
無線LANのセキュリティ対策
キー入力やタッチ操作を盗み見られる「キーロガー」対策
まだまだ知られていない、無線LANの脆弱性
無線LANの脆弱性を突いた攻撃手法の1つに「ウォードライビング」があります。これは車でぐるぐると街をドライブしながら、無線LANの電波をキャッチし、セキュリティが脆弱な無線LANアクセスポイントを探しては侵入を試みる行為です。万が一攻撃者に侵入されてしまった場合は、一般ユーザーがネットワーク環境の内部にアクセスするのと同じ状態になってしまうため、非常に危険です。
脆弱なアクセスポイントは残念ながら多く存在します。無線通信を暗号化していないような、論外なアクセスポイントもありますし、脆弱性が認識されている無線通信のセキュリティプロトコル（規約）の1つである「WEP」（注2）を使い続けているケースもあります。WEPの脆弱性については総務省から注意喚起も出ていますが、知らないまま利用を続けている法人、個人は存在します。知らないことには対策のしようがなく、結果として情報漏えいにつながったり、踏み台にされて攻撃に加担したりしてしまうケースが出てくるのはとても残念なことです。
注2： WEPで使う暗号鍵はとても短く（英数半角5文字～13文字）、攻撃者が解読ツールを用いるとすぐに鍵を見破られてしまう問題があります。
無線LANのセキュリティを強化したいのであれば、セキュリティプロトコルとして何を使っているのかを把握し、WEPが使われているのであれば、それを一刻も早くやめ、WPA2などのセキュリティプロトコルに変更することを強くお勧めします。
参考：1
参考：2
無線LAN（Wi-Fi）暗号化における脆弱性に関する注意喚起（総務省）
本記事執筆中に、WPA2の脆弱性を指摘する情報が公開されました。WPA2の通信を盗聴される恐れがある、というものです。対策としては、端末側（Windows、iOS、Androidなど）ならびに無線LANルーターやアクセスポイントなどを最新状態にアップデートすることです。Webサイトとの通信でhttpsを使っている場合や、VPN通信の場合はデータが盗聴される可能性が低く、安全性を担保できますので、無線LAN通信時にこれらを使用しているかどうかを確認するのも良いでしょう。
事例で見る、無料Wi-Fiスポットの危険
駅や飲食店、宿泊施設など、公共施設が提供する無料の公衆無線LAN（以下、Wi-Fiスポット）も一般的なものになりつつあります。しかし業務にWi-Fiスポットを利用したことで、情報漏えいを起こしてしまったケースもあります。次の例を見てみましょう。
事例：公共施設の無料Wi-Fiスポット利用で、企業の機密情報がダダ漏れに
出張や外出が多い敏腕営業部長。プレイングマネジャーとしてお客さまの評価も高く、実績も上げている。経営層からの信頼も厚い。会社から支給されているノートPCを持ち歩き、いつでもどこでも仕事をしている。
ある日、珍しく社長から電話が入った。「先日の経営戦略ミーティングの際に出た話を、会社のメインビジネスとして真剣に考えてみたいからメールで送ってほしい」という内容だった。
役員への昇進チャンスが来た、と思った。すぐに内容をブラッシュアップしようと思い、無料Wi-Fiスポットが利用できる、とある公共施設に入った。いつも持ち歩いているモバイルルーターを忘れていたのだ。ノートPCを立ち上げ、手早く資料をまとめる。会社の命運を左右する可能性がある。
メールソフトを立ち上げ、新しいメールが届いていないかどうかチェックする。メールソフトがサーバに接続し、新しいメールを次々とノートPCにダウンロードしていく。次に、仕上げた資料を社長に送付。画像を含んだデータだったため、送信に多少時間がかかった。
実はこの時、情報漏えいが起きていたのだ。会社の命運を作用する可能性のある機密情報が、何者かによって奪われてしまい、ライバル会社に先を越されてしまった。
漏えいした情報は、社長にメールで送付した資料だけではなかった。Wi-Fiスポット経由でダウンロードしたメール情報も何者かによって奪われていた。
この時に利用したWi-Fiスポットは、アクセスポイントとPC間のデータのやりとりが暗号化されていなかったのだ。機密情報にパスワードをかけることもなく、生データをそのまま送ってしまったため、無線LAN経由で何者かにデータが盗聴されてしまったのだった。
このケースの要点は次の通りです。
- 暗号化されていないWi-Fiスポットを使った
- PCとアクセスポイント間も暗号化されていなかった
- 送受信したメールデータも暗号化やパスワード処理を施していなかった
- 何者かに通信を盗聴されてしまい情報漏えいを起こしてしまった
公共施設や喫茶店などが提供しているWi-Fiスポットを使う場合は、このようなリスクが常に付きまとうことに十分に注意しなくてはいけません。
例えば、ビジネスシーンでもプライベートシーンでもコーヒーチェーン「スターバックス」を利用している方は珍しくないでしょう。スターバックスは無料のWi-Fiスポットを提供していますが、セキュリティ項目の注意書きに、次のような事項があるのをご存じでしょうか。
「at_STARBUCKS_Wi2」の無線LANは暗号化しておりませんので、秘匿性の高い情報を送受信する場合には、セキュリティを確保するSSLやインターネットVPNなどを用いて通信内容を保護することをお勧めします
場合によっては今回のケースのように、情報漏えいが起こる可能性があることに注意が必要です。
Copyright © ITmedia, Inc. All Rights Reserved.
事例で分かる、中堅・中小企業のセキュリティ対策
情報セキュリティ対策をしたくても、ITに詳しい人が社内外にいなくて困っている中堅・中小企業は多いのではないでしょうか。「知識不足」と「ヒト、モノ、カネ不足」の問題が目の前にあっても、対策は待ったなしの状況。予算を握る上司を説得するために、サイバー攻撃の事例を紹介しながら、その効果的な対策につながる情報セキュリティ製品を分かりやすく解説します。
この記事の著者
関連記事
新着ホワイトペーパー PR
-
事例
[ポールトゥウィン株式会社] 開発スピードと品質を両立、DONUTSが実践する「ハイブリッドなQA体制」の構築術 -
製品レビュー
[ポールトゥウィン株式会社] 開発スピードと品質は両立できる？ DONUTSの「ジョブカン」に学ぶQA戦略 -
市場調査・トレンド
[レッドハット株式会社] 「プラットフォームエンジニアリング」調査レポート：利点・課題・未来像を詳説 -
市場調査・トレンド
[レッドハット株式会社] 生成AI活用のためのテクノロジー基盤、構築に際しての7つの検討事項とは？ -
製品資料
[レッドハット株式会社] ビジネスの現場へのAI導入と活用、何から始めてどのように進めるべきか？
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
【漫画付き】ひとり情シス協会が明かす、RAG導入でしくじる企業「2つの共通点」
-
2
1200万円のSaaS導入を回避 スギ薬局「運用費10万円」のAIエージェント構築術
-
3
年収700万超エンジニアに共通するスキルと「もっと勉強すべきだった分野」
-
4
「RAGの利用」に関するアンケート
-
5
「企業におけるAIの運用」に関するアンケート
-
6
「完璧な設計」なのに3000万円溶けた AWSの失敗事例から学ぶ3つの教訓
-
7
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
8
「企業内サーバ環境の利用実態」に関するアンケート
-
9
IBM iのブラックボックス化を打破 資産継承と進化を実現する「IBM Bob」の実力
-
10
Nutanix＋Everpure構成の実力は？ 既存資産を生かす「脱VMware」の検証
ホワイトペーパーランキング PR
-
1
DX／AI投資の壁を突破、現代の最高財務責任者が直面する課題と克服のヒント
-
2
バックアップは“取っているから大丈夫”なのか？ ランサムウェア時代の備え方
-
3
ネットワーク遅延の原因、「パケットロス」の基礎知識と効果的な解決策
-
4
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
5
5分で分かる Microsoft 365のデータ損失に備えるためのバックアップの仕組み
-
6
AI活用を停滞させる「2：6：2の壁」を乗り越えるためのポイントとは？
-
7
ソフトウェア開発の属人化と手戻りをどう防ぐ？ 速さと品質を両立させる方法
-
8
「NAS」「SAN」「DAS」は何が違う？ いまさら聞けないストレージの基礎
-
9
複雑な組織構造で一度は頓挫した電子化、東京女子医科大はどう全学展開したか
-
10
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー