年末年始に見落としがちなセキュリティリスク：フィッシング、共有端末、外出先での業務

年末年始の休暇期間中は、オフィスだけでなく、自宅以外の場所で仕事をする機会も増えます。従業員が空港や親戚の家からメッセージに返信したり、使い慣れないWi-Fiネットワークに接続したり、自分のデバイスが手元にないときに共有デバイスを借りたりすることもあるでしょう。

一方、受信トレイには、配送通知、年末の人事関連のお知らせ、上司からの急な依頼など、普段から届くことが予想されるメッセージが増えます。そのため、フィッシングメールを見落としやすくなる可能性があります。

こうした行動は一つひとつを見るとごく日常的なものですが、重なることで、攻撃者が狙うセキュリティ上の盲点が生まれます。

フィッシング：一見すると正規のメッセージに見える手口

攻撃者は、人々が忙しく、荷物の到着を待っている年末年始の時期を悪用することがあります。特に注意が必要なのは、次のようなフィッシングの手口です。

• 偽の配送通知： 有名な配送業者を装い、少額の手数料の支払いや配送先住所の確認を求めるメッセージです。正規の配送業者がSMS内のリンクを通じてクレジットカード情報を要求することは、通常ありません。荷物の到着を待っている場合は、配送業者の公式アプリやWebサイトから配送状況を確認してください。
• 偽のアカウント通知： 銀行口座、メールアカウント、オンラインショッピングのアカウントがロックされた、設定が変更された、または新しいデバイスからアクセスされたなどと警告し、リンクから本人確認を行うよう促します。予期しない通知に含まれるリンクからログインすることは避け、公式アプリを開くか、Webサイトのアドレスを直接入力してください。
• 人事部門や経営幹部を装った偽のメッセージ： 年末の特別賞与や給与情報の更新などを口実に、権威や緊急性を利用してログイン情報を入力させようとします。金銭や認証情報に関する予期しない依頼を受けた場合は、対応する前に、電話や社内チャットなどの別の連絡手段で正当性を確認してください。

こうしたフィッシング攻撃の多くは、認証情報やその他の機密情報を盗み取るために作られた偽のWebサイトへ利用者を誘導します。

パスワードマネージャーは、正規のWebサイトと偽サイトを区別することで、こうしたリスクの軽減に役立ちます。KeeperはWebサイトの照合機能を使用し、認識されていないドメインや不審なドメインで認証情報が自動入力されるのを防ぎます。

普段利用しているはずのWebサイトで認証情報が自動入力されない場合は、そのまま操作を続けず、URLが正しいかどうかを確認してください。

共有・借用端末：仕事用と私用のアカウントを分ける

家族や親戚のノートパソコン、家族で共有しているタブレットは、通常、業務での使用を想定して設定されていません。

同じブラウザープロファイルを使用する他の人が、保存済みのパスワードやログイン状態が維持されたセッションにアクセスできる可能性があります。

仕事用のアカウントを安全に保つために、次の対策を心がけましょう。

• 使用後は必ずログアウトする： ブラウザーのタブを閉じるだけでは、ログインセッションは終了しません。メール、チャット、その他の社内システムからログアウトし、その後ブラウザーを閉じてください。同じ端末を定期的に使用する場合は、業務専用のユーザープロファイルを作成しましょう。
• 仕事用のパスワードをブラウザーに保存しない： ブラウザーに保存されたパスワードは、同じプロファイルを使用する他の人からアクセスされる可能性があります。パスワードマネージャーを利用すれば、強力なマスターパスワードで保護された暗号化ボルトに認証情報を保存でき、不正アクセスのリスクを軽減できます。これにより、共有端末のブラウザーにパスワードを直接保存する必要がなくなります。Keeper Businessでは、従業員一人ひとりに無料のファミリープランが提供されるため、個人用と業務用のログイン情報を別々のボルトで管理できます。
• 短時間でも席を離れるときは画面をロックする： 共有端末で仕事用のセッションを開いたままにすると、悪意がなくても、他の人がそのセッションにアクセスしたり、終了させたり、情報を転送したりする可能性があります。
• 貸与端末は最新の状態ではない可能性があると考える： 借用したノートパソコンには、必要なセキュリティ更新プログラムが適用されていなかったり、普段使用しないソフトウェアがインストールされていたりする場合があります。財務管理システムや管理者コンソールなどの機密性の高いシステムへのアクセスは避け、代わりに会社が管理する業務用端末を使用してください。

年末年始に自宅以外の場所で働く場合の注意点

自宅の作業環境は、すでに十分なセキュリティ対策が講じられているかもしれません。しかし、親戚の家や旅行先の宿泊施設、空港などでは、必ずしも同じとは限りません。

自分で管理していないネットワークや端末を使用する場合は、次の対策によってリスクを軽減できます。

• 業務での公共Wi-Fiの利用はできるだけ避ける： やむを得ず公共Wi-Fiを使用する場合は、会社のVPNを利用してください。または、モバイルホットスポットの使用を検討しましょう。
• 接続前にネットワーク名を確認する： 攻撃者は、正規のWi-Fiネットワークに似た名前の偽のアクセスポイントを設置することがあります。こうしたネットワークでは、メールアドレスやパスワードの入力を求める偽のログインページが表示される場合があります。施設の担当者やホストに正しいネットワーク名を確認し、インターネットに接続するために業務用の認証情報を入力することは避けてください。
• 出発前に未適用の更新プログラムをインストールする： 移動中は端末がセキュリティリスクにさらされやすくなる一方、更新プログラムを適用する機会が限られる場合があります。信頼できるネットワークに接続している間に、必要な更新を済ませておきましょう。
• デバイスを常に手元に置く： 車内や旅行先の宿泊施設に放置されたノートパソコンは、紛失や盗難によるデータ漏洩の原因となる可能性があります。個人所有端末の利用に関する社内ポリシーを遵守し、紛失や盗難が発生した場合は速やかに報告してください。

パスワードの保存方法や保護対策によって、ノートパソコンの紛失や偽のWi-Fiアクセスポイントへの接続が引き起こす影響は変わります。

ブラウザーに保存されたパスワードは、第三者がロックされていないデバイスにアクセスした場合、漏洩する可能性があります。また、正規のログインページを模倣した偽サイトでは、入力した情報がそのまま盗み取られるおそれがあります。

パスワードマネージャーは、これら両方のリスクを軽減するのに役立ちます。

Keeperは、マスターパスワードで保護された暗号化ボルトに認証情報を保存します。そのため、端末が盗まれたとしても、攻撃者が自動的にアカウントへアクセスできるわけではありません。

さらに、認識されていないドメインでは認証情報が自動入力されないため、偽のログインページを通じた認証情報の漏洩リスクを軽減できます。

休暇に入る前に確認しておきたいこと

年末年始のセキュリティインシデントの中には、更新プログラムの適用忘れ、ログインしたままのセッション、十分に確認せずに返信したメッセージなど、見落としがちな対策の不備が原因となるものもあります。

休暇期間中はIT部門の対応体制が縮小されることもあり、こうした問題が通常より長く発見されない可能性があります。

休暇に入る前に数分間、次の項目を確認することで、一般的なセキュリティリスクを軽減できます。

• 持ち運ぶすべての端末に未適用の更新プログラムをインストールする。
• 共有端末や共有プロファイルで使用した業務用アカウントからログアウトし、ブラウザーを閉じる。
• 一定時間操作がない場合に、画面が自動的にロックされる設定になっているか確認する。
• 支払いや住所の入力、ログインを求める最近のメッセージを再確認し、すでに対応したものについても正当性を検証する。
• マスターパスワードが十分に強力であることを確認し、業務用ボルトがIT部門によって管理されていることを確認する。
• 端末の損失・盗難や、意図しない共有があった場合は、特に異常がなくてもIT部門やセキュリティ担当者に報告する。
• インターネットに接続できない場合でも確認できる場所に、ITヘルプデスクの連絡先を保存する。

年末年始のセキュリティ対策のために、普段の働き方を大きく変える必要はありません。

大切なのは、普段とは異なる場所で仕事をするときも、セキュリティへの意識を保つことです。

攻撃者は、休暇中に警戒心が緩みやすい状況を悪用する可能性があります。攻撃者が年末年始に向けて準備を進めるのと同じように、私たちも事前に対策を講じることが重要です。

Keeper Businessのすべてのユーザーには無料のファミリープランが提供されるため、個人用のログイン情報を業務用ボルトや共有ブラウザーに保存する必要はありません。

今すぐファミリープランを設定しましょう。