傷つかない、傷つけないために
Staying Safe Online被害者にならないために
ネットの世界で誰かを傷つけないことと同じくらい、自分自身が傷つかないことも大切です。ここでは、被害に遭いやすい代表的な場面を確認しておきましょう。
まず、見知らぬ人との出会いです。マッチングアプリやゲームアプリを通じた出会いは、いまや珍しいものではありません。ただし、画面の向こうにいる相手の素性は、実際に確かめようがないということを、常に頭の片隅に置いておく必要があります。
詐欺やなりすましにも注意が必要です。迷惑メールには対応しないこと、本物そっくりに作られたサイトに誘導するフィッシング詐欺に遭わないこと、そして人の心理的な隙を突いて情報を聞き出すソーシャルエンジニアリングに気をつけることが基本です。ソーシャルエンジニアリングは、まだ社内の常識に慣れていない新入社員が被害に遭いやすいと言われています。
不正アクセスへの備えも欠かせません。ハッカーは、ゴミ箱に捨てられた書類やメモから手がかりを探るスキャベジング（ゴミあさり）から攻撃を始めることがあります。また、自宅のルーターのパスワードを、購入時のままの初期設定で使い続けるのも危険です。
ネットいじめは、知名度の高いスポーツ選手などが被害に遭いやすい傾向があります。暴言を吐かない、マウントを取らない——基本的なことですが、LINEグループのような閉じた場でこそ、これが徹底されにくくなります。
炎上の被害にも気をつけましょう。政治的な発言は、それなりの覚悟を持って行う必要があります。一度投稿した動画は、あとから削除しても、誰かの手元に保存されて拡散が止まらないことがあります。ネット上に一度出た情報が、まるで入れ墨のように消えずに残り続けることをデジタルタトゥーと呼びます。炎上は、当事者の意思とは関係なく止まらなくなるものだと心得ておいてください。
個人情報はどう流出するか ― 代表的な手口
個人情報がどのような手口で盗まれるのかを知っておくと、防げる被害があります。代表的なものを確認しましょう。
フィッシング詐欺は、本物のサイトによく似せた偽サイトに誘導し、IDやパスワードを入力させて盗む手口です。似たようなWebサイトには気をつけ、身に覚えのない迷惑メールは開かないことが基本の対策になります。キーロガーは、キーボードの入力内容を記録して盗み出すウイルス・ソフトです。カフェなどの共有パソコンにUSB機器を差し込み、気づかれないままインストールされて常駐する、といった手口が知られています。共有ミスもよくある事故です。Googleドライブやマイクロソフトのクラウドサービスで、本来は限られた人にだけ見せるはずの文書を、うっかり全体公開の設定のまま共有してしまうケースが後を絶ちません。相手の心理的な隙を突くソーシャルエンジニアリング、そしてゴミ箱を漁って情報を集めるスキャベジングも、あわせて覚えておきましょう。
SNSでの注意
SNSは便利な発信の道具ですが、扱いを誤ると自分自身を傷つける道具にもなります。お酒に酔った状態のまま投稿しないこと、怒りにまかせて投稿しないこと——これだけでも、後悔する投稿の多くは防げます。周知する必要のないことは、そもそもSNSやレビュー欄に書き込まないという判断も大切です。また、「友達設定になっているから安心」というのも思い込みにすぎません。設定はあくまで設定であり、絶対に外部に漏れないという保証にはならないことを忘れないでください。
加害者にならないために
自分が被害者になることだけでなく、意図せず加害者になってしまうリスクにも注意が必要です。家庭用のルーターは、最低でも4年に1回は交換することが望ましいとされています。古いルーターは弱点(脆弱性)が見つかっても修正されないまま使われ続けることがあり、乗っ取られて、他のサーバーを攻撃するための踏み台として悪用されるDDoS攻撃（大量の通信を送りつけてサービスを妨害する攻撃）に加担させられてしまう恐れがあります。また、公衆Wi-Fiは基本的に暗号化されていないことが多いため、利用には注意が必要です。
パスワードのお話
セキュリティの世界には、rockyou.txtという有名なファイルがあります。過去に実際に漏洩したパスワードを大量に集めたリストで、「よく使われがちな、破られやすいパスワード」の実例集として、セキュリティ教育の現場で広く参照されています。「password」「123456」のような単純なものが、驚くほど多くの人に使われている実態を教えてくれます。パスワードの設定方法については、JPCERTコーディネーションセンターが公開しているパスワードの設定・管理に関する案内も参考になります。
知識として知るだけでなく、ここで実際に手を動かしてみましょう。記念に、パスワードを1つ生成してみてください。次の項目を、自分の考えたパスワードと照らし合わせてみましょう。
- rockyou.txtのような漏洩リストに、同じ文字列が含まれていなさそうか
- 12文字以上になっているか
- 自分にとって忘れにくいものになっているか
- 大文字・小文字・数字が入り混じっているか
- 誕生日や名前など、推測されやすい情報が入っていないか
- 他のサービスで既に使っているパスワードの使い回しになっていないか
ゼロから考えると難しく感じるかもしれませんが、自分の好きなテーマをひとつ決めると作りやすくなります。好きなキャラクター、好きな季節のイベント——たとえば「コジコジが好き」「ハロウィーンが好き」といった、自分だけが分かる連想から言葉を組み立てて、記号や数字を混ぜてみてください。それだけで、他人には推測しづらく、自分には忘れにくいパスワードに近づきます。
ここまで、強いパスワードの作り方を見てきました。しかし残念ながら、現在のインターネットの世界では、どれだけ強いパスワードを作っても、それだけでは安全とは言い切れません。
パスワードは、いずれどこかから漏れる前提で考える
rockyou.txtのような漏洩リストが実在するということ自体が、パスワードは「絶対に漏れないもの」ではなく「いつか、どこかのサービスから漏れうるもの」であることを示しています。あなたがどれだけ気をつけていても、利用しているサービス側が不正アクセスを受け、パスワードの一覧ごと流出してしまう事故は、これまでも繰り返し起きてきました。
だからこそ「使い回さない」が最重要ルールになる
チェック項目の最後に挙げた「他のサービスでの使い回しをしない」は、実はいちばん効果の大きい対策です。あるサービスからパスワードが流出しても、他のサービスで別のパスワードを使っていれば、被害はそのサービスだけにとどまります。逆に使い回していると、1か所の流出がすべてのアカウントの被害に直結します。
もうひとつの鍵、多要素認証
パスワードという「知っていることによる証明」だけに頼らず、スマートフォンに届く確認コードや、指紋・顔といった「持っていること・自分自身であることによる証明」を組み合わせる仕組みを多要素認証（複数の異なる方法を組み合わせて本人確認を行う仕組み）と呼びます。パスワードが仮に漏れてしまっても、多要素認証を設定しておけば、それだけでは突破されにくくなります。重要なサービスほど、パスワードに加えてこの仕組みを有効にしておくことをおすすめします。
教室のひとこま
最後に、このテーマを教えるとき、教室でよく交わされるやりとりを。
講師講師「記念にパスワードを1つ生成してみてください」というワークは、研修の中でも特に手が止まる時間です。頭で分かっていても、いざ自分のパスワードとなると、つい簡単なものに逃げたくなるものなんですね。だからこそ、「好きなテーマを1つ決めてから作る」というやり方をおすすめしています。ゼロから記号の組み合わせをひねり出すより、ずっと手が動きます。