2020.02.04hiro_0202aqFacebookTwitterはてブ退職したにも関わらず消し忘れた社員アカウント、利用されなくなったサービスのIDなど、使われなくなり休眠状態のままシステム上に残ってしまったアカウントのことを「休眠ID」と言います。休眠IDは、セキュリティ上いろいろな問題を含んでいると言われます。それはなぜでしょうか。どのようにして対応すれば良いのでしょうか。まとめ休眠IDとは使われなくなったフリーメールのアドレス、退職したにも関わらず残ったままの社員アカウント、facebookなどSNSでの使われないアカウントなど、世界中のITシステムには膨大な数の使われないままのアカウントが存在します。普段使われているアクティブなアカウントに対して、こうしたアカウントのことを「休眠ID」と呼びます。使われないまま放置されている休眠IDには、実は悪意のある第三者にとって悪用される危険性の高い多くの問題が潜んでいます。以下では、それらについて解説します。不正ログインまずは第三者にアカウントを勝手に使われる、他人になりすましてログインされてしまう「不正ログイン」の危険性です。これによって、本来権限を持たない利用者が勝手にシステムを利用することを許してしまいます。不正にログインできてしまうということは、システムに侵入するだけでなく、本来触れてはいけないはずの顧客情報や技術情報などの機密情報などにも触れられてしまう危険性があることを示します。その結果、情報を搾取され、外部に流出させられてしまうというリスクがあります。アカウント乗っ取り(なりすまし)最後に、不正にアカウントを使われるということは第三者が本来の利用者になりすますということを意味しています。関係のない赤の他人が、本来の利用者になりすまして犯罪行為などを行う可能性があるのです。使われず放置されたままの休眠IDがあることは、セキュリティ的に大きなリスクをはらんでいます。そのあたり、大手の各サービスではどういった対応をしているのでしょうか。IDの利用を停止します/YAHOO!JAPANセキュリティセンターYahooでは、使われなくなったアカウントは4年以上という期間を目安に停止させるという処理を行なっています。「停止」であり、データ削除などが行われるわけではないので、本人からの希望があり本人確認などの手続きができれば復旧することができるようになっています。アカウントの使用を停止する方法/Microsoftマイクロソフトでは、音声通話サービスのSkypeや、メールサービスのOutlookなどを提供していますが、アカウントが原則2年間使われない状態にあると削除されるようになっています。追悼アカウント(Facebook)参照追悼アカウント/FacebookSNSでは、利用者本人が亡くなった場合など、家族や周囲の友人などがアカウントをそのまま閲覧したいという希望を持っているケースがあります。Facebookでは、こうした希望に応えるために、ログインがなくても削除されない「追悼アカウント」というものを設けています。それ以外の通常のアカウントは6ヶ月ログインがなければ自動的に削除されるようになっています。悪意を持つ第三者に休眠IDが不正に利用されないようにするためには、どういった対策をすれば良いのでしょうか。ルールを設けて休眠IDを自動削除まずは、先ほど紹介した大手のITサービスのように一定の期限などのルールを設けて、それに基づいて休眠IDを自動で削除する、あるいは停止するといった処理をすることです。これによって、使われないアカウントがいつまでも利用可能な状態でシステム上に残ったままになるといったリスクを避けることができます。ID管理の徹底もう一つは、当然ことながらID管理を厳格化することです。具体的には、社員が退職するときには速やかに削除する、育児休業などで休職する場合は停止させるといったことを業務フローに組み込み、確実に実施するといったことです。したことを行うことで、そもそも把握されない休眠IDが残ってしまうといったことはかなり避けることが出来るでしょう。まとめ退職した社員のIDがそのまま残ってしまっている、フリーメールのアカウントがそのままになっている、SNSを使わなくなったがアカウントはそのまま。いった現在では不要となったアカウントのことを「休眠ID」と呼んでいます。休眠IDは、悪意を持つ第三者に勝手に使われるといったことだけでなく、不正アクセスやそれによる情報の搾取、悪用といった犯罪行為に使われてしまうリスクもあります。いった問題に対応するためには、今回紹介したような以下の対策を確実に行う必要があります。休眠IDを定期的に削除するルールを設け、実行する休眠IDを出さないようにするためのルールを定義し、実行する休眠IDのリスクを避けるためには、こうしたことに気をつけることが大切です。Directory(アクティブディレクトリ)とは?機能やメリットデメリットを徹底解説FacebookTwitterはてブこの記事を書いた人hiro_0202aqIT企業10年間、Linux・Windows系のサーバ・インフラ系構築・運用エンジニアとして経験を積み、現在は、とある企業で社内SEとして活動。多種多様な業務に携わってきたため知識は幅広く、得意分野はLinuxをはじめとしたサーバー構築。社内セキュリティ担当者としての経験も長く、セキュリティソフトウェアや、ゲートウェイ対策にも精通している専門家として活躍中。セキュリティ情報を伝えるべく日々奮闘中プロフィールはこちら事務局からのお知らせ当サイト掲載コンテンツの二次利用について2019.08.07当サイトコラムニスト星野靖裕さんが東京新聞に取材されました。資料請求リストに製品がありません。