Microsoft 365メール暗号化に“解読可能”な脆弱性 利用中止でも消えない危険「Office 365 Message Encryption」の脆弱性と対策【後編】

暗号化されたメールの内容を攻撃者が解読し得るという、Microsoftのメール暗号化ツール「Office 365 Message Encryption」の脆弱性。企業はどのような防御策を講じるべきか。そもそも防御策はあるのか。

2022年11月16日 08時15分 公開
[Alex ScroxtonTechTarget]

 セキュリティベンダーWithSecure(F-Secureの企業向け部門が独立)は、Microsoftの「Office 365 Message Encryption」(OME)に深刻な脆弱(ぜいじゃく)性があると発表し、注意を呼び掛けている。OMEは、Microsoftのオフィススイート「Microsoft 365」(Office 365)で利用可能なメール暗号化ツールだ。この脆弱性を悪用すると、攻撃者は暗号化されたメールの内容を解読できる恐れがあるという。OMEを使用している企業はどうすればいいのか。そしてMicrosoftの動きは。

対策は「OMEをやめる」 それでも残る“あの懸念”

 OMEが使っている暗号化技術は、繰り返し出てくるブロック(メールの一部)を全て同じ暗号文に変換する。そのため攻撃者は、一定の量のメールを入手すれば、暗号化の構造から内容をある程度推測できるという。WithSecureのセキュリティコンサルタントを務めるハリー・シントネン氏によると、企業にとっては残念ながら有効な対策がない。「そもそもメールを流出させないことが大切だ」(シントネン氏)

 シントネン氏によると、OMEの脆弱性は特に取引先との契約や国・地域のルールによって、プライバシーを順守しなければならない企業にとって懸念材料になる。OMEの脆弱性悪用によって情報が漏えいすれば、欧州連合(EU)の「GDPR」(General Data Protection Regulation:一般データ保護規則)」や、「CCPA」(California Consumer Privacy Act:カリフォルニア州消費者保護法)に触れる可能性がある。

 MicrosoftはWithSecureから受けた報告について「脆弱性とは見なさず、セキュリティ対策を実施する必要はない」と述べたと、WithSecureは明かす。そのためベンダーがIT製品の脆弱性を公開・修正したことを示す「共通脆弱性識別子」(CVE:Common Vulnerabilities and Exposures)は発行されなかったという。

 Microsoftの方針を受けWithSecureは「企業にできる唯一の対策といえば、OMEの使用を直ちに停止することだ」と言う。ただしOMEの使用を停止しても、過去にOMEで暗号化されたメールを攻撃者が入手するリスクは残るとシントネン氏は指摘する。

Computer Weekly発 世界に学ぶIT導入・活用術

米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。

ITmedia マーケティング新着記事

news035.jpg

低迷するナイキやアディダスを猛追する「HOKA」の “破壊的”ブランディングとは?
ランナーの間で好感度が低迷しているNikeに対し、ディスラプター(破壊的企業)として取...

news051.jpg

新紙幣の発行、3社に1社が日本経済に「プラスの影響」と回答――帝国データバンク調査
20年ぶりの新紙幣発行は日本経済にどのような影響を及ぼすのでしょうか。帝国データバン...

news196.png

WPPとIBMが生成AIを活用したB2Bマーケティング領域で連携
IBMのビジネス向けAIおよびデータプラットフォームである「watsonx」の機能を「WPP Open...