Microsoft 365メール暗号化に“解読可能”な脆弱性 利用中止でも消えない危険：「Office 365 Message Encryption」の脆弱性と対策【後編】

暗号化されたメールの内容を攻撃者が解読し得るという、Microsoftのメール暗号化ツール「Office 365 Message Encryption」の脆弱性。企業はどのような防御策を講じるべきか。そもそも防御策はあるのか。

[Alex Scroxton，TechTarget]

　セキュリティベンダーWithSecure（F-Secureの企業向け部門が独立）は、Microsoftの「Office 365 Message Encryption」（OME）に深刻な脆弱（ぜいじゃく）性があると発表し、注意を呼び掛けている。OMEは、Microsoftのオフィススイート「Microsoft 365」（Office 365）で利用可能なメール暗号化ツールだ。この脆弱性を悪用すると、攻撃者は暗号化されたメールの内容を解読できる恐れがあるという。OMEを使用している企業はどうすればいいのか。そしてMicrosoftの動きは。

対策は「OMEをやめる」　それでも残る“あの懸念”

併せて読みたいお薦め記事

連載：「Office 365 Message Encryption」の脆弱性と対策

• 前編：Microsoft 365のメール暗号化を“無意味“にする脆弱性　その危険性とは

脆弱性の知識を深めるには

• クラウドサービスの脆弱性に「CVE」がない“なるほどの理由”
• 「ゼロデイ脆弱性」と「ゼロデイエクスプロイト」の違いとは？

　OMEが使っている暗号化技術は、繰り返し出てくるブロック（メールの一部）を全て同じ暗号文に変換する。そのため攻撃者は、一定の量のメールを入手すれば、暗号化の構造から内容をある程度推測できるという。WithSecureのセキュリティコンサルタントを務めるハリー・シントネン氏によると、企業にとっては残念ながら有効な対策がない。「そもそもメールを流出させないことが大切だ」（シントネン氏）

　シントネン氏によると、OMEの脆弱性は特に取引先との契約や国・地域のルールによって、プライバシーを順守しなければならない企業にとって懸念材料になる。OMEの脆弱性悪用によって情報が漏えいすれば、欧州連合（EU）の「GDPR」（General Data Protection Regulation：一般データ保護規則）」や、「CCPA」（California Consumer Privacy Act：カリフォルニア州消費者保護法）に触れる可能性がある。

　MicrosoftはWithSecureから受けた報告について「脆弱性とは見なさず、セキュリティ対策を実施する必要はない」と述べたと、WithSecureは明かす。そのためベンダーがIT製品の脆弱性を公開・修正したことを示す「共通脆弱性識別子」（CVE：Common Vulnerabilities and Exposures）は発行されなかったという。

　Microsoftの方針を受けWithSecureは「企業にできる唯一の対策といえば、OMEの使用を直ちに停止することだ」と言う。ただしOMEの使用を停止しても、過去にOMEで暗号化されたメールを攻撃者が入手するリスクは残るとシントネン氏は指摘する。

Computer Weekly発　世界に学ぶIT導入・活用術

米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。