エンジニアが家族に今すぐ伝えるべきセキュリティ対策7選
エンジニアの知識で家族を守る
実家の母から「このメール、本物かな？」とLINEがありました。
添付されたスクリーンショットを見ると、完璧なフィッシングメール。
それ以外でもブラウザの機能を利用した「ウイルスに感染しました。お金を振り込めば治せます」といった、WEBサイトへ誘導する無限通知など、これまでも何度かセキュリティに関係するやり取りがありました。
大げさに言えばエンジニアである僕達は、家族をデジタル脅威から守る 「最後の盾」 です。
でも、 「いくら高度な知識があっても家族に伝わらなければ意味がない」
それを実感してるエンジニアは結構いそうだなと思い記事にしてみました。
家族のLINEグループでシェアしたり、実家に帰ったときに設定する際などに参考になれば幸いです。
1.「昭和式パスワード」問題
実家に帰ったとき、親のパソコンやスマホのパスワードを聞いて驚いたことはないだろうか？
「パスワード？えーっと、tanjoubi1955 かな？」
これを昭和式パスワードと言ったりします。
昭和式の特徴として、以下のような問題があります。
- 簡単すぎて総当たり攻撃（ブルートフォース）で突破される(John the RipperやHydraの餌食)
- 名前や誕生日はSNSでバレやすい（OSINT）
- 流出したリストに載っている可能性が高い（SecListsを検索したらひっかかる）
これを解決しようと、エンジニアのように「自分に全く関係のない文字の羅列で、覚えられないパスワード」を提案しても渋い顔をされることがあります。
対策としておすすめは「好きな歌手のデビュー年＋曲名の頭文字＋好きな一節」ルールなど、自分の好きなものから3つのカテゴリを組み合わせる*ことです。その結果「覚えやすいのに強固なパスワード」が作れます。
例えば
- 好きなアーティストのデビュー年を含める
- 好きな曲名の頭文字を使う
- 好きな歌詞の一節を組み込む
- 記号をランダムに加える
スピッツファンなら、
→「1985C@KimiW」（1985年デビュー＋「チェリー」＋「君を忘れない」の一部）
これなら、 覚えやすくて、攻撃者には推測しづらいパスワードになります。
2. 「善意のクリック」トラップ
詐欺メールやフィッシング詐欺は、 本物そっくり で非常に巧妙です。
【ショッピングサイト名】配送遅延のお知らせ
お客様の荷物が保留されています▶︎確認はこちら
「配送のドライバー職も人材の不足が深刻化してたりして大変だと聞いているし・・」
「手間をかけていたら申し訳ないし・・」
という善意から、結果として「確認はこちら」をクリックしてしまう問題。
そうならないために 「怪しいメール」を見分けられるようにすること が重要です。
見分けるポイント
- 宛名が「お客様」などの曖昧な表現になっていないか
- 「至急！アカウント停止！」と不安を煽る言葉がないか
- メール内のリンクを直接クリックせず、公式サイトやアプリから確認する
具体的な伝え方
- 「本物なら『〇〇様』って名前で送ってくるよ」
- 「変なメールが来たら、家族のLINEグループで相談してね」
システム側に問題がない限り、メールアドレスが本物のアドレスであることはないため。基本的にメールアドレスで判断できますが、ドメインをあまり気にすることがない人にとっては見落としがちな部分です。
現在の（重要）フィッシングメールは、個人の情報が特定できておらずメールアドレスに紐づく名前まではわかっていないことが多いため。宛名が「お客様」 など、ざっくりした表現のメールに注意すると良いと思います。
3. IoT機器の「設定忘れ」地雷
Wi-Fiに繋がっている スマート家電や防犯カメラ、しっかり設定されていますか？
IoT機器が乗っ取られると、家のネットワークが踏み台にされ、個人情報が盗まれるリスクがあります。
IoT機器はとても便利ですが、やはり人間が作ったものなので製品によっては考慮が足りておらず脆弱な部分があったりします。初期パスワードから変更ができない、方法が分かりづらいなんてこともあります。
最低限チェックすべきポイント
- 初期パスワードを変更したか？
- Wi-Fiルーターの管理画面に簡単なパスワード（admin/passwordなど）が設定されていないか？
- ファームウェア（機器のソフトウェア）を最新の状態にしているか？
無線LANはその性質上、家の壁を超えて通信が可能です。脆弱なデバイスであれば 「うちのIoTカメラは、お隣さんからでも接続できる」なんてこともできてしまいます。
4. パスワードの使い回しは厳禁
家族の中に 「全部同じパスワードを使ってるよ」 という人、いませんか？
1つのサイトでパスワードが漏れたら、 他のサイトも芋づる式に乗っ取られる（パスワードリスト攻撃）可能性があります。
パスワードを使うログイン機能は 「その本人だけがログインできる」ことを前提に設計されています。
しかも、攻撃者はシステムの脆弱性を突くだけではありません。むしろ、「人間の心理的な隙」 を突く攻撃の方が多いのが現実です。
エンジニアとして、システム側でセキュリティを強化することも大切ですが、ソーシャルエンジニアリング（人間を騙す攻撃）はシステムだけでは防ぎきれません。
最終的な防御策は「ユーザーの意識」 です。
ユーザーの意識が高く、面倒だなと思うことをすると攻撃者にとっても面倒になります。
どう対策する？
- サイトごとに異なるパスワードを使う
- パスワード管理アプリ（1Password、LastPass など）を使って管理する
- 重要なパスワードは 半年に1回変更 する
管理方法として、
お金をかけても良ければ 「パスワード管理アプリを使うのが一番」 だと思います。強固なパスワードの生成、強度のチェック、変更のタイミングなどを簡単に管理してくれるからです。
お金をかけたくない場合 「覚えられないパスワードを作り、金庫やそれに類する重要なものをしまう場所に紙に書いて保存しておく」 のが個人的にはおすすめです。
5. 2段階認証（2FA） or 生体認証をON
パスワードだけでは 100%安全とは言えません。
それでも万が一パスワードが漏洩しても、 2段階認証（2FA）をONにしていれば、不正ログインを防げます。
これは、パスワード＋持っている端末やカードなどでの認証を行う方法で、銀行のATMのように、何か「知っていること（パスワード）」と「持っているもの（キャッシュカードや通帳）」の両方が必要となります。これにより、パスワードが漏れても第三者がログインするのは困難になります。
（僕の親には上記のATMの例を使った説明がしっくりきたようです）
また、生体認証（指紋や顔認証など）も、多くのサービスで利用できるようになっているので、積極的に利用しましょう。これらの方法を使うことで、セキュリティはさらに強化されます。
今すぐ設定すべきサービス、チェックポイント
- Google（Gmail、YouTube など1つのIDとパスワードで複数のサービスにログインできる仕組みで色々ログインに使える）
- Amazon（買い物アカウントの乗っ取り防止）
- 銀行・クレジットカード関連（不正送金を防ぐ）
6. スマホのセキュリティ設定を最適化する
スマホは、使用者の人数も多く、利用層も幅広く攻撃者にとっては狙いやすいデバイスです。
おおよそ5分でできる設定で、セキュリティを大幅に向上させましょう。
すぐでできる設定
- OSの自動更新をONにする（セキュリティパッチを常に適用）
- アプリの位置情報を「使用時のみ」に設定する
- 不審なリンク警告を有効化する（iPhone：Safari設定 / Android：Chrome設定）
体感として、僕の親からは「SMSを経由した不審なリンクを踏んだこと」が要因のセキュリティ相談が多い気がします。「不審なリンク警告を有効化する」をONにしておくと、危険なサイトに行く前に警告がでるので 「ウイルス感染を治すのに、お金を振り込んでしまった」 という事態を回避できます。
OSやソフトウェアを最新の状態に保つことは、セキュリティリスクを防ぐ重要な対策です。
スマホに限らずよく利用するデバイス（タブレットやパソコンなど）やソフトウェア（ExcelやWordなど）はアップデートするようにしましょう。
アップデートには機能を追加したり見た目が変わったりする他に、見えない部分へのセキュリティの対策を含むことがあります。
7. 安全なインターネット利用を心がける
インターネットは便利な反面、セキュリティのリスクも多く潜んでいます。特に、 公共Wi-Fiの利用や怪しいサイトへのアクセスには注意が必要です。
家族が 「どこでもWi-Fiに繋げばOK！」 という認識でいると、 通信の盗聴や個人情報漏洩 のリスクが高まります。
そこで、 安全にインターネットを利用するためのポイント を押さえておきましょう！
インターネット利用時に気をつけること
- 公共Wi-Fiで銀行や買い物をしない（通信を盗み見られる危険性がある）
- VPNを利用して通信を保護する（セキュリティ意識の高い人向けだが有効）
- HTTPSのサイトを利用する（ブラウザの🔒マークをチェック）
公共Wi-Fiを安全に使う方法
カフェや空港、ホテルなどの無料Wi-Fiは便利ですが、セキュリティ的には 非常に危険 です。
悪意のある人が 本物そっくりの偽Wi-Fiを作成し、接続した人の通信を盗み見たり、パスワードを抜き取ったりするケース もあります。
家族にどう伝えるか？
- 「フリーWi-Fiは便利だけど誰かが会話を盗み聞きしてるかもしれない場所で、大事な話をしているのと同じ。誰に聞かれても良いときに使うと良いよ」**
公共Wi-Fiで絶対にやってはいけないことの例
- ネットバンキング・クレジット決済をしない
- 個人情報を入力しない（パスワード、メールアドレス、クレカ情報など）
- 「無料Wi-Fi」と書かれた謎のネットワークには接続しない
公共Wi-Fiを安全に使うための工夫
- VPN（仮想プライベートネットワーク）を利用する（Google One VPN, NordVPN など）
- できるだけスマホのモバイルデータ（4G/5G）を使う
- どうしても使う場合は、メールチェックやSNS程度に留めるなどルールを決めておく
HTTPSのサイトを利用する
インターネットで買い物をしたり、個人情報を入力する際には、
ブラウザのアドレスバーが「https://」で始まっているかを確認 しましょう。
HTTPSとは？
「S」がついている＝通信が暗号化されている という意味です。
これにより、入力したデータ（クレジットカード情報やログインパスワードなど）が 第三者に盗み見られないよう保護されます。
HTTPSじゃないサイトは危険
最近のブラウザは、HTTPSに対応していないサイトにアクセスすると「この接続は安全ではありません」という警告を表示するようになっています。
この警告が出たサイトでは、絶対に個人情報を入力しないようにしましょう。
まとめ
一種のコミュニケーション術ですが、「専門的なことを、わかりやすく伝える」のはとてもむずかしいなと思います。そのなかでもこの記事のようなセキュリティに関する部分は、なかなか理解してもらえないなと感じることが多いです。
この記事がそんな課題の助けになれば幸いです。
参考リンク
Discussion