この頃、セキュリティ界隈で

インサイダーの脅威が浮き彫りに　求められる「ゼロトラスト」のセキュリティ対策

公開 2020年01月14日 13時49分

[ITmedia]

印刷する連載新着通知を受け取る

　米Twitterの元従業員2人が、ユーザー情報を不正に入手してサウジアラビアに提供していたとして米国で訴追された（2019年11月）。それと前後して、Trend Microでは元従業員が持ち出したユーザーの個人情報が、サポート詐欺に使われていたことが分かった。IT企業が膨大な量の個人情報を握るようになった今、インサイダーの脅威が改めて浮き彫りになっている。

　米司法省によると、Twitterの従業員だったサウジアラビア国籍のアリ・アルザバラ容疑者（35）と米国籍のアフマド・アボウアモ容疑者（41）は、サウジ政府と王室の指示を受け、サウジに批判的だったTwitterユーザーの個人情報を不正に入手していたとされる。

米司法省のプレスリリース

　アルザバラ容疑者はTwitterのエンジニアとして、アボウアモ容疑者は中東担当のメディアパートナーシップマネジャーとして、それぞれ2013年～2015年まで米サンフランシスコの本社に勤務していた。サウジへの情報提供と引き換えに、現金や高級腕時計などを受け取っていたという。

　2人がサウジ政府に提供した情報は、体制批判の投稿をしていたユーザーの身元特定に利用された可能性がある。サウジ絡みでは、王室批判をしていた著名ジャーナリストが在トルコのサウジ領事館内で殺害される事件が2018年に発生している。今回の事件との関係は不明だが、内部関係者が流出させた情報が原因で、ユーザーの身の安全が脅かされかねない実態が浮かび上がった。

　アルザバラ容疑者は、Twitterの上司からユーザーの個人情報へのアクセスについて問いただされた翌日に、共謀者の手を借りて米国から出国し、サウジに帰国した。アボウアモ容疑者は11月に米シアトルで逮捕されている。

　一方、Trend Microから流出した顧客情報は、コンシューマー向け製品のユーザーを狙ったサポート詐欺に利用されていた。Trend Microのサポート担当者になりすました相手から詐欺電話がかけられていたことが8月に発覚し、同社が調べた結果、インサイダーが関与していたことが10月になって判明したと2019年11月に公表。

Trend Microのプレスリリース

　この従業員は、不正な手段でカスタマーサポート用のデータベースにアクセスし、盗んだ情報を第三者に転売していたとして解雇された。同社はこの従業員の不正アクセスについて「計画的な手口を使って高度なコントロールをかわした」と説明している。

　TwitterやTrend Microに限らず、顧客や消費者の個人情報を扱う以上、どんな企業もこうしたリスクと無縁ではいられない。米Verizonがまとめた世界のデータ流出事案に関する報告書の2019年版によれば、インサイダーが絡む情報流出事案は、従業員のうっかりミスによる流出も含めて、全体の34％を占める。

　セキュリティ企業Core Securityがサイバーセキュリティ担当者を対象に実施した調査では、70％がこの1年の間にインサイダー攻撃の頻度が増したと答え、62％は過去1年で数なくとも1回のインサイダー攻撃を経験したと回答している。

　この問題は、米ラスベガスでこのほど開かれたセキュリティカンファレンス「OpenText Enfuse 2019」でも取り上げられ、従業員の不審な行動を洗い出して潜在的脅威を見つけ出す対策について専門家が解説した。

　threatpostは製薬大手Pfizerの担当者の話として、従業員のログ記録をモニタして、大量のデータを外部のドライブにダウンロードしたり、セキュリティ対策をかわそうとしたり、自分の仕事と無関係なデータにアクセスしようとする従業員を追跡調査するなどの対策を紹介している。また、勤務時間外にデータにアクセスする行為や、プリンタやスキャナを過剰に使うといった行為も不正をうかがわせる兆候になると指摘する。

　ただし、私物端末の業務利用（BYOD）や欧州連合一般データ保護規則（GDPR）との兼ね合いで、従業員監視とプライバシー保護の両立が難しくなっているのも現実だという。

　OpenTextは情報管理製品を手掛ける立場から、「現代のエンタープライズを守るためには、もはや従来のようなアプローチでは不十分になった」と指摘し、「ゼロトラストの世界において有効な、セキュリティに対する現代的なアプローチ」の必要性を説いている。

この連載新着通知をメールで受け取る

印刷する