なぜ長期休暇にセキュリティ対策が
必要なのか？

なぜ長期休暇の時期は、セキュリティトラブルが
発生しやすいのか

ゴールデンウイークや夏休み・冬休みは、多くのビジネスパーソンが長期休暇を取得する時期です。すでに旅行の計画を立てているという人も多いことでしょう。しかし長期休暇は、情報セキュリティにトラブルが発生しやすい時期でもあります。

IPA（独立行政法人 情報処理推進機構）が2024年の冬休みの時期に発表した「2024年度 年末年始における情報セキュリティに関する注意喚起」という資料によると、長期休暇中はシステム管理者が長期間不在になることで、普段の業務とは管理体制が異なる状況になりがちといいます。そのため、セキュリティインシデントが発生した場合の対応に遅れが生じたり、想定していなかった事象へ発展するなど思わぬ被害が発生し、長期休暇後の業務に悪影響が及ぶ可能性があるといいます。

IPAでは同様の注意喚起を、2024年だけでなく2023年でも、ゴールデンウイーク前、夏休み前、冬休み前のタイミングで発表しています。2024年のゴールデンウイーク前に発表された資料では、インターネットに接続された機器・装置の脆弱性を悪用する「ネットワーク貫通型攻撃」についての注意も追記されています。

システム管理者もビジネスパーソンである以上、長期休暇で不在になるのは仕方がないことです。企業はたとえシステム管理者が不在でも問題が起こらないよう、長期休暇前の対策が求められます。

長期休暇の前も、明けた後も対策は必要

長期休暇前に実施すべき情報セキュリティ対策とは、どのようなものなのでしょうか？IPAが公開している「長期休暇における情報セキュリティ対策」という資料によれば、まずはシステム管理者が、長期休暇の前後に対策を行うべきとしています。

管理者の長期休暇前の対策としては、不測の事態が発生した場合に備え、委託先企業を含めた緊急連絡体制や、トラブル発生時の対応手順が明確になっているかを確認すべきといいます。

加えて長期休暇中に、メンテナンスなどで社内ネットワークにPCや外部記憶媒体を接続する場合、そのPCや記憶媒体にウイルスが含まれていると、ネットワーク内に拡散されてしまう恐れがあるため、社内の機器接続ルールを事前に確認すべきとしています。サーバーなど、長期休暇中に使用しない機器についても、電源をOFFにすることを推奨しています。

長期休暇明けの対策としては、OSや各種ソフトウェアの修正プログラム、セキュリティソフトの定義ファイル（パターンファイル）などを更新し、最新の状態にすること、サーバー等の機器に不審なアクセスが発生していないかログを確認し、不審なログが記録されていた場合、早急に調査を行うことを呼びかけています。

長期休暇明けのメールチェックは慎重に！

長期休暇時の情報セキュリティ対策は、システム管理者だけでなく、そのシステムを利用する従業員にも求められます。同資料では利用者に対して、PCや記憶媒体を社外に持ち出す場合はルールを事前に確認し遵守すること、持ち出した機器やデータを厳重に管理すること、長期休暇明けは修正プログラムや定義ファイルを更新し、持ち出した機器のウイルスチェックを実施することを呼びかけています。

これらに加えて、「メールのチェックを注意して行うこと」も推奨されています。長期休暇明けはメールが溜まっているため、実在の企業を騙ったメールの添付ファイルを開くことでウイルスに感染したり、本文に記載されているURLをクリックすることでフィッシングサイトに誘導される恐れがあるためです。

メールに不審なファイルを添付するサイバー攻撃のひとつに「Emotet（エモテット）」があります。Emotetとは正規のメールへの返信を装った攻撃メールのことで、ユーザーが過去にメールをやり取りした相手になりすまし、悪意のあるマクロが埋め込まれた文書ファイルを送り付けます。このマクロを誤って実行してしまうと、その端末はEmotetに感染してしまいます。

IPAではもし不審なメールを受信していた場合は、添付ファイルは開かず、本文中のURLにもアクセスせず、システム管理者に報告したうえで、その指示に従うよう求めています。

詐欺かも!?
でも、相談窓口は長期休暇で休止している

IPAではこのほかにも、個人で長期休暇中に対策すべきセキュリティ対策にも言及しています。

たとえば休暇中にWebを閲覧している最中、「あなたの端末はウイルスに感染している」「PCが壊れる」といった偽の警告が表示され、最終的に有償契約へ誘導される「サポート詐欺」（警告詐欺、テクニカルサポート詐欺）に遭遇する恐れがあります。

長期休暇中は、こうした詐欺の相談窓口が休止している場合があるため、誘導に流され、お金を支払ってしまうケースもあるようです。IPAが2018年に公開した資料によれば、ゴールデンウイークが明けた5月に、サポート詐欺の被害に関する相談件数が急増したというデータも存在します。

IPAでは長期休暇中にこうした詐欺に騙されないよう、事前に具体的な手口と対処方法を確認し、被害に遭わないよう注意することを呼びかけています。

長期休暇は忙しいビジネスパーソンに与えられた自由時間ですが、サイバー攻撃者に休みはありません。むしろ絶好のタイミングと考え、攻撃を仕掛けてきてもおかしくはありません。長期休暇をつつがなく過ごし、休み明けに仕事へとスムーズに戻るためには、休暇前の入念な情報セキュリティ対策が求められているといえるでしょう。