ハッキングやデータ漏えいが世界中で騒がれる中、今回は個人レベルの差し迫ったセキュリティ問題として「パスワード」を取り上げようと思います。ハッキングにはある程度の下準備が伴いますが、パスワードの場合は、容易に推測可能なパスワードが設定されるケースが多くハッカーは楽に任務を遂行できます。それにしても、大多数のユーザーはなぜ単純なパスワードを使用するのでしょうか。あるサイトによると、世界で最も使用されるパスワードは、いまだ「123456」や「password」など、簡単な単語や数字の羅列という有様です。

この事実を重く受け止めたESETアイルランドの我がチームは、はたしてアイルランドのユーザーも該当しているのか調査を実施しました。結論から言うと、わたし達にとっては喜ばしい結果が得られました（正確には、ひとまずホッとした程度ですが）。調査の焦点は、アイルランドのユーザーが使用するパスワードのタイプ、そしてその安全性でした。まずパスワードをタイプ別に分類し、ユーザーに使用しているパスワードがどのグループに該当するか質問しました。つまり、どのグループに属するかで複雑性のレベルが特定できます。複雑であるほど、安全性が高いことになります。

調査は、ESETアイルランドの委託を受けたAmárachが実施しました。対象にはさまざまなプロフィールのユーザー1000人を選び、有効な調査結果が得られるように配慮してあります。850人はオンラインで回答してもらい、残りの150人は代表サンプルとして直接会って話を聞きました。

ユーザーには「電子メールのパスワードはどのようなタイプですか？」と質問し、次の選択肢の中から選んでもらいました。

• アルファベットと数字の組み合わせ（例: jimmy34、ron45xyz、ilrw12）
• 簡単な単語や数字の羅列（例： password、colin、13435）
• 造語を使用（例: lianwer、gianron、cavoveti）
• アルファベットの小文字と大文字、数字の組み合わせ（例: Roisin75、OpeRal1982）
• アルファベットの小文字と大文字、句読点、数字の組み合わせ（例: MoCon-07、McBett0982!）
• 長めの文章を使用（例: Don'tfogettocallmother、Ican'tbebeaten）
• メインの電子メールアカウントのパスワードはコンピュータに保存してあるのでいちいち覚えていない

回答結果はグラフで確認できます。

大多数のユーザーが複雑なパスワードを使用していたら文句なしでしたが（調査では約10%）、それでも次のとおり、良好な状況にあるといえます。

• 38%はパスワードにアルファベットと数字の組み合わせを使用している
• 10%は複雑なパスワードを使用している
• 10%以上はアルファベットの小文字と大文字、数字の組み合わせを使用している

合計すると回答者の58%は、「12345」のような最も単純なパスワードを使用していないユーザーに該当します。どうやら、ESETをはじめとする組織が日々取り組んできたセキュリティ啓発活動がある程度は実を結んだようです。

David Harleyもブログでパスワードのセキュリティ問題を取り上げています。また、SC Magazineに寄稿した記事「Password Strategies: Who Goes There」では、最近のハッキング事件を顧みて、「アクセスするサイトやサービス、組織のセキュリティ対策が適切でなければ、パスワードがいくら複雑でも効果がない」と鋭い指摘をしています。

David HarleyとRandy Abramsが執筆した詳細かつ包括的なすぐれたホワイトペーパー「Good Password Practice」や、今回のアイルランドのユーザーの例はパスワードのセキュリティ改善に向けて格好の起爆剤となりそうですが、サービスプロバイダーがデータ保護の重要性を理解して機密情報の流出を確実に防げるように万全な対策をとるためには、一層の働きかけが不可欠です。

ESETが委託しHarris Interactiveが実施した最近の調査から、SNSサイトのプライバシーやセキュリティに対するユーザーの懸念と実際の行動は一致していないとする、衝撃的な事実が明らかになりました。調査は2011年5月31日から6月2日にかけて、18歳以上のアメリカのオンラインユーザー2027人を対象に実施されました。

調査によると、ソーシャルネットワークのアカウント所有者の69%がSNSサイトのセキュリティに不安を感じているものの、その1/3はアカウントのパスワードを一度も変えたことがなく、最後に変更したのは数年前と答えた所有者も15%に上りました。

さらに、アメリカのユーザーの10人に1人が、自分のアカウントが見知らぬユーザーに不正アクセスされ、悪意のあるリンクやメッセージを送信された経験があることも判明しました。不正アクセスは、アカウント所有者のみならずコンタクトリストのユーザーにも被害が及ぶ可能性があるため、特に警戒が必要とされます。この種の被害は数えきれないほど報告されており、最近ではオサマ・ビン・ラディンの死亡に便乗した詐欺も出回っています。

アカウント所有者の67%がプライバシー問題を心配していると調査結果は示しています。にも関わらず、プライバシー設定の更新頻度が半年に1回するかしないか程度に留まる所有者は55%に上っています。これは厄介な問題を引き起こすかもしれません。例えばFacebookでは、ユーザーのプライバシーに影響を及ぼす可能性がある変更が生じてもユーザーに対する忠告は無きに等しく、ユーザーはどのタイミングで設定を変えるべきか把握できません。

アカウント所有者の69%がセキュリティに、67%がプライバシーに対し懸念を示している一方で、同様に意見が集中した他の懸念事項は次のとおりです。

• 自分の名前で偽のアカウントが作成されることを恐れている＝37%。
• 友人やフォロワー、知り合いからのリクエストを常に、または時々承認している＝95%
• SNSサイトに入力した個人情報が自分が知らないところで売買、共有され、金銭トラブルに巻き込まれないか懸念している＝71%
• 自分の子どものSNSサイトの利用に不安を感じた経験がある＝17%
  
• ソーシャルネットワークで自分と友人を保護するためのベストプラクティス

  多くのユーザーは、SNSサイトはセキュリティ対策が万全で、自分が何をしなくてもプライバシーは確実に保護されていると思い込んでいるようですが、もちろんそんなことはありません。以下にオンラインのセキュリティを向上できる簡単なガイドラインをまとめましたので、ぜひ実践してみてください。

  • 強力なパスワードを使用する
  • プライバシーの保護に利用できるオプションを確認し、設定を頻繁に見直す
  • 本当にリクエストを許可すべき「友人」を考える

  懸念を払拭できない場合は、外部のリソースにヘルプを求める。

• ※ 調査方法
  この調査は、Harris InteractiveがSchwartz Communicationsの委託を受けて2011年5月31日から6月2日にかけて実施しました。対象は18歳以上のアメリカのオンラインユーザー2027人で、内1476人はソーシャルネットワークのアカウントを所有していました。このオンライン調査は確率サンプルを基にしていないため、理論上のサンプリングエラーの推定値は算出されません。

ESETは最近、CTAC（Cyber Threat Analysis Center）からの情報を入手する数多くの方法をESET ThreatBlogにまとめました。ESETのブログへはこちらからアクセスでき、RSSフィードを配信しています。また、Randy AbramsとDavid Harleyは毎週、SC MagazineのCybercrime Cornerに記事を数本寄稿しています。さらに、ESETのホワイトページでは主に次のセクションの論文や記事をダウンロードできます。

• ESETの論文
• ESETの研究者が執筆、寄稿している記事
• ESETのホワイトペーパー
• ESETのプレゼンテーション

ホワイトペーパーページに追加された最新の論文は、David HarleyがInfosecurity UK 2011で発表した「Infrastructure Attacks: The Next Generation?」とEICAR 2011で発表した「Security Software and Rogue Economics: The Presentation」です。いずれもスピーカーノートも含めPDF形式でダウンロード可能で、後者の論文はこちらで要約を閲覧することもできます。

ESETのツイートにフラグをつけるためにTwitterアカウントも多数利用できます。

@ESETresearch、@ESETLLC、@ESET_CTAC、@dharleyatESETはCTACに直接リンクされている。

@esetkbはナレッジベースの記事や動画をリツイートし、@ESETはしばしばCTACのツイートにフラグをつける。

この他には、CTACのFacebookやESET USAのFacebook、ESETのグローバル版のFacebookも利用できます。各地域向けのESETのFacebookも多数ありますが、数が多すぎるため掲載は割愛します。

また、ESETラテンアメリカのリサーチチームのブログ（スペイン語）やTwitterもご覧ください（アカウントは@esetla）。

Microsoftは先月、Autorun機能を悪用する大量のマルウェアによる感染を大幅に減少させたとブログで発表しました。INF/AutorunはESETの汎用検出名で、autorun.infファイルをインストールしたり改ざんしたりしてシステムに影響を与える、多種多様なマルウェアのファミリーを指します。Autorunが近年なぜ悪用され、問題を引き起こしているのか、ESETでも長きにわたりその理由を説明してきました。後述のESETのThreatSense.Netによるマルウェアランキングトップ10では、継続してトップ3にランクインしています。参考までに、INF/Autorunに関する解説もご覧ください。

Microsoftはここ数年、この問題の解決に向けてさまざまな対策を講じてきました。まずWindows 7ではデフォルトでAutorun機能を無効にし、次にXP、Vista、Windows Server用にパッチを公開しました。最後の仕上げとしてWindows UpdateでAutorunの無効化プログラムを配布し、多くのシステムが自動的にアップデートされるようにしています。対応の遅さは否めませんが、それでも何もしないよりはましだと評価する人もいるでしょう。一方、ESETのテクニカルエデュケーション担当ディレクターであるRandy Abramsは、この措置を「どのような事態になるかだれの目にも明らかなのに何とも遅い対応だ」と表現しています。

さて、わたし達のレポートを定期的に読んでいる皆さんならば、若干不思議な点に気が付くのではないでしょうか。Microsoftのブログにある大幅な感染率の減少が、ESETが運営するThreatSense.Net（早期警告システム）の数値に表れていないのです。これは測定の対象が根本的に異なるためです。Microsoftによると、XPとVistaの感染件数が今年2月から5月の間で130万件も減少していますが、わたし達がこの種のレポートを作成する場合は、感染件数ではなく、検出件数を測定します。Randyの言葉を借りるなら、「ESETはシュート数をカウントしており、Microsoftはゴール数をカウントしている」ということになります。実はこのブログの最初の右肩上がりの図は、ESETの測定法と同じ検出件数を測定しています。そのためこの図と、大幅な減少を示す2番目の図は直接照らし合わせて考えることはできません。ESETの上級研究者であるAryeh Goretskyが実際にMicrosoftの測定法を試してみたところ、やはり同様の結果が得られました。すなわち、Microsoftが報告したような減少傾向が確認されたのです。

さらには、他の要因もあります。MicrosoftとESETは共通のユーザーを顧客としているはずですが（ESETのお客様はWindowsユーザーが多いのです）、モニタリングの対象となるユーザー数が明らかに異なります。また、例えばXP SP2がサポート対象外となり、アップデートされていないマシンの感染率がわずかな減少に留まるというケースもあります。これはもちろん、そのマシンが感染ルートでないということにはなりません。さらに、INF/Autorunのような汎用検出名の採用は、エンドユーザーの立場からすれば多種多様なマルウェアをひとくくりにした方が把握しやすいため最適である反面、個々の脅威やそのファミリーを正確に分類する上ではあまり好ましくありません。脅威の分類は非常に困難な作業ですが、お客様にはそれほど重要ではないのです。

感染件数と感染したマシンの数。どちらの測定法も「間違っているわけではありません」。あくまでも異なる視点から脅威の実態を観察しているだけなのです。

身に覚えのないマルウェアのトラブル解決やシステム障害のチェックなどのサポートを装った電話詐欺がここ1～2年で膨大な数に上り、ブログでもその実態を取り上げています。この問題は、新たに「出現」してきた脅威に関するMicrosoftの調査で浮き彫りとなり、再びメディアの注目を浴びるようになったとみられます。「出現」という表現は、1年以上も前から存在していた脅威に対して適切な表現ではなさそうですが、最近のブログで解説されているように、この調査では不安を煽る数値が示されており、興味深い問題としての格上げに貢献しています。

Microsoftのプレスリリースでは、いきなり「あなたのコンピュータに問題がある」と電話がかかってきたら、詐欺と考えて間違いないとしています。これはリリースで言及されている国ではおそらく事実なのでしょうが、事態はもっと複雑になっています。というのも、特定の国や状況下では合法的に勧誘電話が許可される場合があるためです。こちらのホワイトペーパーでは、こうした法的な問題も取り上げているほか、手口の大まかな流れも説明しています。

プレスリリースではいくつかの適切なアドバイスを掲示していますが、以下にリリースでは触れられていない重要な点を記しておきます。

• すべてではないにしろ、この種の詐欺ではたいていイベントビューアへの理解が被害を免れるカギとなります。Windowsのシステムについて詐欺に引っかからない程度の十分な知識を持ち合わせていれば、診断ツールとしてはほとんど機能しないことがわかります。イベントビューアを実行すると膨大な量のエラーが表示されるため、技術的な知識に乏しいユーザーであれば震え上がるかもしれませんが、実はそのほとんどは一時的なエラーに過ぎず、深刻な問題ではありません。とはいえ、EVENTVWRと呼ばれるプログラムをユーザーに実行させて実際にエラーを示すことで信じ込ませるこの手口は、やり方自体は賢いといえるでしょう。
• この調査には、通常は調査対象国として選ばれることが多いオーストラリアが含まれていません。CNETは、調査時点で問題が発覚した国のみを対象としたと説明していますが、これは正しくありません。また、確かに他の英語圏のユーザーが標的とされやすいのは事実ですが、詐欺師が他言語のユーザーに狙いをつけ始めている可能性も十分にあるのです。

• ESETのホワイトペーパー
• ESETブログ
• ESETポッドキャスト
• 独立テスト機関によるベンチマークテスト結果
• アンチマルウェアソフトウェアのテストと評価について