不審なメッセージが届いたとき、最初の三十秒
見覚えのない請求のメールや、配送業者を名乗るショートメッセージが届いたとき、被害になるかどうかはその場の数十秒で決まります。まず守りたいのは、本文中のリンクを押さない、添付ファイルを開かない、そして文中に書かれた電話番号にかけ直さないという三点です。差出人のアドレスは本物らしく見せかけられますし、ロゴや日本語の文面も、いまではほとんど違和感がありません。確認したいときは、メールの中の導線を一切使わず、自分がふだん使っているアプリやブックマーク、あるいは請求書や契約書に印刷された連絡先から入り直してください。急かす文面ほど、いったん手を止める合図だと考えると安全です。
攻撃はどこから入ってくるのか
サイバー攻撃と一口に言っても、入口はおおむね限られています。人をだましてIDやパスワード、認証コードを入力させるフィッシング、端末やサーバーのデータを暗号化して復旧と引き換えに金銭を要求するランサムウェア、どこかで流出した認証情報を別のサービスで試して回る手口、そして更新されないまま放置されたソフトウェアの欠陥を突く侵入などが代表的です。取引先や委託先を経由して本来の標的にたどり着く形も知られています。技術的に高度な突破よりも、人の油断と、直っていない古い設定が使われる場面のほうが多いというのが実情です。
「サイバー」という語が抱えている範囲
日本語の中の「サイバー」は単独で使われることが少なく、ほかの語と結びついて意味を持ちます。サイバー空間は、通信網やサービスの上に成り立つ、国境の感覚が薄い情報のやりとりの場を指します。サイバー犯罪は、その空間で起きる不正アクセスや詐欺、なりすまし、他人の情報を勝手に扱う行為などを含む呼び方で、警察が専用の相談窓口を設けている分野でもあります。サイバーセキュリティは、それらから情報や仕組みを守る取り組み全体を表します。攻撃・犯罪・防御という三つの側面が同じ語を共有しているため、文脈によって意味の重心が動く点は覚えておくと読み違えが減ります。
担当者がいない会社が、まず固める順番
専任の担当者がいない小さな組織でも、効き目の大きいものから並べれば手はつけられます。最初は、業務で使うアカウントすべてに二要素認証を設定すること。次に、パスワードを使い回さず、管理ツールでも施錠された場所での保管でもよいので一元的に扱うこと。三つ目に、OSと業務ソフト、社内に置いた機器の更新を放置しないこと。四つ目に、重要なデータの控えを、常時つながってはいない場所にも残しておくことです。あわせて、辞めた人のアカウントが生き残っていないかを定期的に見直すと、見落としがちな穴が閉じられます。道具を増やすより、この基本を確実に回すほうが効果的です。
おかしいと気づいた後の順序
不正なログインの通知が届いた、身に覚えのない送金があった、業務用の端末が急に動かなくなった。そうした場面では、動く順序を決めておくと迷いません。まず、その端末をネットワークから切り離します。次に、別の安全な端末から、影響が及びそうなサービスのパスワードを変更し、ログイン履歴と連携アプリを確認します。金銭が絡むなら、利用している金融機関やカード会社の窓口へ速やかに連絡してください。犯罪の疑いがあれば、各都道府県警察のサイバー犯罪相談窓口が受け付けています。画面や通知は消さずに残しておくと、後の相談で状況を説明しやすくなります。
続けられる守りにするために
対策は、一度きりの設定作業ではなく、細く長く続く習慣に落とし込めたときに効いてきます。おすすめは、点検の日をあらかじめ決めてしまうことです。数か月に一度、主要なアカウントの認証設定とログイン履歴を見て、使っていないサービスは退会し、データの控えが本当に開けるかを実際に試します。家庭であれば、家族の端末の更新状況と、子どもが使うサービスの設定も同じ機会に見直せます。組織であれば、不審なメールを開いてしまった人が責められずに報告できる空気を作っておくことが、どんな製品よりも早く被害を止めます。完璧を目指さず、続く形にすることが要点です。
