テレビやネットのニュース、インタビューで映るパソコン画面に潜むセキュリティリスク

ニュース番組やYouTubeなどで、医師や専門家、企業の代表者がオフィスや診察室でインタビューや取材を受ける様子の映像を見かけます。その際、背後に起動しているパソコン画面が映り込んでいることがあります。単にアイコンが並んだだけのデスクトップ画面だし、データの内容などが表示されているわけではないので何も問題ないと思うかもしれません。

しかし、起動しているパソコン画面の情報はサイバー攻撃者にはまたとない攻撃のヒントになることはあまり知られていません。情報管理に厳しいテレビ局でさえいまだにやっているパソコン画面の「映り込み」。これは重大なセキュリティリスクへとつながる可能性があります。今回は、そうしたパソコン画面の危険性と、その対処法について具体的に解説します。

デスクトップ画面から読み取り可能な多くの情報

一見すると何も問題がないように見えるデスクトップ画面ですが、実はそこに表示されているフォルダやショートカットアイコンから、使用者のPCの用途やデータの扱い方などをある程度推測することができます。

たとえば、デスクトップ上にフォルダが多数存在していれば、攻撃者はそのPCに複数の情報が保存されている可能性を見出します。特に、デスクトップをファイル保存場所として主に使っている場合、業務上の中核データの存在が予想されます。使用者のファイル管理のパターンがわかってしまうのです。攻撃者はこうした断片的な情報を組み合わせ、どこに侵入・攻撃すれば効果的かを判断していきます。

OSやソフトウェアのバージョンから脆弱性が推測される

画面の見た目やタスクバー、アイコンの形状からは、使用しているOSやソフトウェアの種類、そのバージョンを推測することが可能です。WindowsやMacはUIデザインの違いが顕著なため、たとえばサポートが終了しているWindows 7や8などが映っていれば、攻撃者にとっては格好の標的となります。

また、アンチウイルスソフトや業務アプリ、リモートデスクトップ、ブラウザ、メールクライアントなどのアイコンが表示されていると、それぞれに存在する既知の脆弱性が攻撃の糸口になります。特にソフトウェアのバージョンが古い場合、それがアイコンデザインだけで明らかになることもあり、リスクはさらに高まります。

氏名や所属と画面情報を組み合わせた標的型攻撃

インタビュー映像などでは、登場人物の氏名や所属がテロップで表示されることが一般的です。たとえば「株式会社○○ 技術開発部田中さん」という情報と、映像内に映り込んだPC画面に古いバージョンのソフトが見えていれば、攻撃者はその人物に対して極めて精度の高い標的型攻撃を仕掛けることが可能になります。

具体的には、関係企業を装ったフィッシングメールを送り、画面から特定した古いソフトの脆弱性を突いたマルウェアを添付したり、偽のWebサイトへ誘導して情報を窃取する手口などが考えられます。これらは実際に多くの企業や機関で問題となっている攻撃手法です。

リスク回避のための対策

こうした「画面の映り込み」から生じるリスクを回避するためには、以下のような対策が有効です

PCの電源をオフにする、画面を伏せる、またはスクリーンセーバーに企業ロゴや風景画像などを設定する。
用途やデータ管理状況が想起されるようなフォルダ・アイコンをデスクトップ上に置かない。
映像配信前に映像を確認し、ソフトの種類やバージョンが特定されないように「ぼかし」やモザイク処理を施す。
ガイドラインや研修で社員全体に周知する。

映像に映る情報はすでに「公開情報」

映像に映る情報は善意な視聴者だけでなく、悪意ある第三者にも見られているという意識が必要です。「ただ映っているだけ」と思われるパソコン画面であっても様々な情報が読み取られてしまうことがあります。映像を伴う取材やインタビューを受ける際、また、映像コンテンツを制作・公開する場合には、画面に映るすべての情報を「公開された情報」として扱います。また、事務所や職場などであっても、不意な訪問者の目にパソコン画面が入ることがないような工夫が必要です。画面管理と配慮を怠らないことが、これからの情報セキュリティには欠かせません。

筆者実績：http://www.kumin.ne.jp/kiw/#ss