大変なニュースです。9万3000を超えるWebサイトがハッカーの攻撃を受け、およそ200万件のアカウント情報が盗まれました。CNNは、次のように内訳を発表しています。

Facebook（FB、Fortune 500）：31万8,000件
Gmail、Google+、YouTube：7万件
Yahoo（YHOO、Fortune 500）：6万件
Twitter（TWTR）：2万2,000件
Odnoklassniki（ロシアのソーシャルネットワーク）：9,000件
ADP（ADP、Fortune 500）：8,000件（ただしADPによると2,400件）
LinkedIn（LNKD）：8,000件

盗まれたデータの中には、ファイル転送プロトコル（FTP、大容量ファイルの転送に使用される標準ネットワーク）への接続に使用するアカウント41,000件と、リモートログインアカウント6,000件が含まれています。

この攻撃では10月21日からパスワードの収集が始まっており、現在も継続している可能性があります。現在も感染したマシンを明確に特定できない状況であり、このように多数のコンピュータに被害が拡大した感染経路も不明です。筆者は、この事件にはフィッシングが絡んでいるのではないかと思っているのですが、マルウェアの感染経路は次のように複数存在します。

メールまたはインスタントメッセージの添付
ファイル共有やソフトウェアの海賊版のダウンロード（同じタイプの操作として分類されますが、それぞれ異なります）
感染Webサイトから送信された悪意のあるコードのブラウズ
聞こえない音声信号
これ以外にも数多くの経路があります。

このような攻撃からユーザを保護する対策にはさまざまな方法がありますが、特にお勧めするのが、強力な機能を備え、魅力的で価格も手頃なバラクーダネットワークスのセキュリティ製品です。ただし、ユーザ視点のセキュリティトレーニングを受けず、ユーザの行動に無頓着で、ルールにも従わなければ、どのように優れたソリューションを導入したところで役に立ちません。ここで、Security Weekに最近掲載された記事を紹介しましょう。

フルタイムで仕事をする21～32歳のモバイル端末所有者3,200人を対象にFortinetが実施した調査によると、「私物端末を業務で使用することを禁止するポリシーがあっても無視する」と回答した割合は51%に達しています。また、私物端末を業務で使用する場合、「端末でセキュリティの問題が発生したとしても会社には報告しない」と回答した割合は14%でした。
DropBoxなどのクラウドストレージの個人アカウントを業務でも利用しており、「業務利用を禁止するルールが適用されたとしても従うつもりはない」と答えた割合は36%を占めます。特に憂慮すべき点としては、クラウドストレージサービスに顧客データを保存している割合が33%、契約書やビジネスプランといった重要な私文書を保存している割合が22%にも達するという事実です。

数ヵ月前にNetwork Worldが実施した調査では、「ウイルスに感染していることがわかっているメールでも開いてしまう」という回答が30%を占めました。

感染がわかっていても開いてしまうのですよ。

これにはただ驚くばかりです。

このような状況でネットワークを守るために、トレーニングの実施、綿密なポリシーの適用と徹底、高機能を備えた機器の導入といった対策を講じるわけですが、結果として200万件のアカウント情報が流出してしまいました。今回の事件は、セキュリティについて根本から見直すよい機会かもしれません。もちろん、バラクーダネットワークスがお役に立ちます。

パスワードの盗難や反抗的なユーザ（Windows XPに関する問題）にどのように対処していますか？皆さまの体験やアイデアをお寄せください。

本稿は、バラクーダネットワークスのWebサイトに掲載されている『バラクーダラボ』12月17日付の記事の転載です。