前編に引き続き、守屋英一さんにお話をお伺いします。後編では、まずは企業とセキュリティの観点から、ソーシャルメディアのリスクについて語っていただきました。守屋英一(もりや・えいいち)シニアセキュリティアナリスト。2001年、インターネットセキュリティシステムズ(ISS)入社。セキュリティオペレーションセンター(SOC)におけるセキュリティエンジニアを経て、2007年外資系企業に入社。社外活動として、日本シーサート協議会運営委員などを務める傍ら、2012年6月、エンドユーザー視点でソーシャルメディアのセキュリティリスクについて解説した『フェイスブックが危ない』を上梓するなど活発な情報発信を続ける。情報セキュリティブログでは新企画「こんな危険があったのか!Facebookを安全に使うためのセキュリティ対策」の監修も担当。セキュリティでお聞きします。最近、新たな脅威として挙げられるのが標的型攻撃ですね。Facebookを用いた標的型攻撃というのもあります。実際にあった例でいえば、私のFacebook上の友人宛に、「送信者:守屋英一」でメールが送られたということがあります。★具体的にはどういうことでしょう。偽装された守屋英一のメールアドレスから、その友人にメールが届き、メール本文に記載されたURLをクリックすると不正なWebサイトに接続してウィルスに感染させられる攻撃でした。この事例で怖いのは、メールが届いた友人と、私との接点がほとんどないということです。私はその方とはFacebook上で知り合い、接点はFacebookのみだったのです。相手の方のメールアドレスも知りませんでした。実際に会ったこともありません。その方が投稿する写真に私がコメントするような関係でした。★何らかの機密を入手するために守屋さんが利用されたということですか。ここからは、私が実際にその方に届いたメールを見た上での推測ですが、おそらく、何らかの機密を入手しようと、私の名前を騙って攻撃を仕掛けたものではないかと思います。この方は、投稿は友人限定で公開していたので、投稿は漏れないようになっていたにもかかわらず、Facebook上の友人関係(ソーシャルグラフ)を見て、攻撃が仕掛けられたという点がとても怖いですね。いう経緯でその方の職業や私の存在が知られたのか、真相はわかりませんが、いずれにせよ攻撃者側は相当綿密に情報を集めたことがうかがえます。★情報収集の方法というのが、ほとんどがソーシャルエンジニアリングの手法なのですね。エンドユーザーが直面するネットストーカーのような問題から、機密を盗むという行為まで、共通しているのが、Facebook上の人間関係や投稿内容を見て、標的を吟味して、情報を調べた形跡があるということなのです。情報の公開範囲を友人限定にしていても、その人がどういう社会的立場にあるかというのは類推される可能性があります。意外と多いのがFacebook上の「友達」を公開にしているというケースです。自分と友達関係になっている人の一覧も公開を制限できるのですが、多くの人はパブリックに公開している状態だと思います。Twitter!最新情報やユミコの日常が見えるかも?Facebook公式ページFacebookページのいいね!ボタンを押すと情報セキュリティブログの最新情報がウォールに表示されます。関してご意見・ご感想サイトマップRSSスマートフォンサイトに切り替える2010年9月30日以前に公開されたコンテンツについては、本文中の社名は当時のもの(日立システムアンドサービス)となっております。