せきゅラボ研究結果 第19回

ギャリー・デイビス氏（米国マカフィー セキュリティ エヴァンジェリスト）に訊く

2018年、我々は悪意ある者たちが「プレイブック」を変更した世界を歩く

ランサムウェアもモバイルに標的を移す

スマホが標的のワンクリック詐欺は、よりユーザーの心理を巧みに突いた内容になるだろうと話す三上氏

三上　モバイルを標的としたランサムウェアは増えて行くと思いますか？

デイビス　間違いなく増えていくでしょうね。ただ、PCを狙うランサムウェアとは違ってモバイル向けのランサムウェアは単に画面をロックするというものが多いです。ロックはされるもののデータ自体を奪われることは多くありません。

　しかし今後はもっと高度なランサムウェアになっていくと思います。端末がロックされている間に、パスワード、クレジットカードなどなど、狙われたユーザーの個人情報が盗まれたり大事なデータが削除されてしまう、というようなことも起こりかねないでしょう。

三上　日本ではアダルトサイトの閲覧に関連した「架空請求詐欺」「ワンクリック詐欺」というものがあり、これがモバイル向けのランサムウェアにピッタリでは、と思うのですが……英語圏にそういった詐欺はあるのでしょうか？

デイビス　そうですね直接体験したことはありませんが、英語圏でもあると聞いています。確かに、モバイルにはピッタリな詐欺ですね。今後は最適化された攻撃とがあると思いますよ。ユーザーの振る舞いを使って狙われることもあるかもしれません。

三上　3年前にお話を伺ったとき、「パスワードという認証方法は古いもので、今後5年間で他の認証方法に変わるだろう」とおっしゃっていました。3年経った現状の進捗は？

デイビス　2つの進化が見られます。1つは生体認証。現在はどのデバイスもたいてい生体認証を搭載するようになりました。もう1つは2段階認証。パスワード以外の要素で認証する仕組みですね。こちらもだいぶ進化していると思うのですが、まだまだ理想的ではないと考えています。今後は、デバイスを利用したときに特定の「振る舞い」をしたら本人だ、と認証するようなシステムも開発されていくのではないでしょうか。

パスワードに代わる認証方法を模索する動きはセキュリティ対策メーカーのみならず、各所で進んでいる

三上　AIがセキュリティを守る立場で活用されている例はありますか？

デイビス　マカフィーの「リアルプロテクト」機能には機械学習機能が搭載されています。以前はマルウェアを検知するためにはサンプルを用意し、ラボのリサーチャーがいくつもの段階を経てそれを確認してマルウェアか否かを判断していました。しかしいまは機械学習機能によってそれが実行されています。

三上　マカフィーのリサーチャーがAIのせいで職を失うのではないですか？（笑）

デイビス　そんなことはありませんよ（笑）　マルウェア以外にも研究することはたくさんありますからね。こうしている現在も脅威は爆発的に増えていますから。

三上　ありがとうございました。

三上洋氏の視点――最も大きなトレンドの変化は攻撃者のプレイブック変更だ

　今回のインタビューでは特にIoTの話が大きく響きました。絵空事だったことが現実になっているようで、今後はこれに対応していく必要があるでしょう。そして言うまでもなく、モバイルの脅威が大きくなってきていますね。

　気になったのは、悪意ある人たちの「プレイブック」が変わった、つまり犯罪者のマインドが変わったということ。「世界を揺るがすことができる」という共通認識が悪意ある人たちの行為をかき立てているのですね。従来の「こっそり儲ける」犯罪者に加えて、「世界を騒がせる」「巨大な仕掛けで儲けを出す」手法を使うサイバー犯罪者が出てきそうです。

　そして機械学習がセキュリティ対策製品を大きく変えていくと感じました。サイバー攻撃はさまざまな方法がありますが、最終的には「乗っ取る」か「情報を盗む」ことが目的で、その前提としていずれにせよ「忍び込む」ことが必要になります。翻って、機械学習は人間には気づけないほどの小さな差異を見つけることに長じていますから、今後防御力という観点では大幅に向上するのでは。リアルプロテクト機能に搭載される「ふるまい検知」に機械学習が採用されているのはそういった理由があると思います。

　日本未発売の「McAfee Secure Home Platform」はルーターに内蔵される次世代のセキュリティ対策のようですが、接続されるデバイスのセキュリティ対策機能とどのように連動していくのかが気になるところですね。

日本のアップル人気――真の理由はここにある!?

　スマートスピーカーのセキュリティの話題では、国民性の違いを感じました。英語圏ではプライバシーや個人情報の考え方がそもそも異なるようです。スマートスピーカーにしてもGoogleの対応にしても、それが良いことなのか悪いことなのか単純に断ずることはできません。しかし、日本人は「安全」より「安心」を求める傾向にありますよね。

　Googleは個人情報を収集しているが、細かく情報公開して「『安全』に扱う」と言っている。それに対して、Appleは情報公開はあまりしない傾向だが「個人情報は収集しないので『安心』だ」と言う。Apple方式のほうが日本には向いているのかもしれません。

　そして3年前に話した「IDとパスワードの次」の話ですね。現状、やはりなかなか進んでいないようです。私個人も、約20年パスワードの管理について考察しているのですが、根本的なところは変わっていません。これだけITが普及し、スマートな生活、スマートな働き方も進んでいるのに、結局何十個ものパスワードを日常的に管理しなければならないというのは前近代的だと感じます。

（パスワード解除ではないにせよ）生体認証を使うアプリが増えたのは一歩前進とみるべき

　ただ、生体認証でアプリが使えるようになったことは大きな進歩だと思っています。生体認証でパスワードを解除しているのではなく、生体認証でアプリが本人承認をしているだけではあるのですが……。また今後は、2段階認証でなんらかの「認証機」を使うというような方式に期待しています。認証機の種類は何でもいいんです。単なるPINでもいい。ただ、その認証機が普及して全サービスで使われるようになってほしいと思います。すべてのサービスが足並みを揃えなければ意味はないでしょう。

　犯罪者のプレイブックが変わってその意識が変わった、という話題が出ましたが、同じように一般社会でも、「いまどきパスワード入力なの？（笑）」という大きな流れを作り、全ユーザーのマインドセットを変える必要があるのかもしれませんね。〈談〉

■関連サイト

• マカフィー