これってどーなの？映画『耳をすませば』に学ぶセキュリティ＜第2回＞

うわ！　びっくりした！　なんだね、急に

意味のない伏せ字はやめたまえ

そんなことはないよ。先日のTV放送は見てないけど、『耳をすませば』はもちろん何度も見ているよ

君は僕のことを何だと思ってるんだ。……まあでも、たしかに『耳をすませば』を恋愛ものとして見ているわけじゃないよ

あれは良いセキュリティ啓蒙映画だからね

そんなことはないよ。君はソーシャル・エンジニアリングという言葉を知ってるかい？

ソーシャル・エンジニアリングというのは、パスワードなどを盗むのに、ハッキングのような技術的なテクニックを使わない方法なんだ。たとえばPCにパスワードを打ち込んでいる人の後ろからタイプしている文字を観察したり、メモを盗み見たりといった物理的な方法だね。一般の人が気をつけるべきは、むしろこのソーシャル・エンジニアリングなんだよ！

たとえば主人公の雫だよ。彼女は図書カードに天沢聖司の名前が毎回あることから、彼のことを気にしていたわけだよね。でも、実はそれは逆だったことが後に判明する。実際には天沢聖司が先回りして、雫がまだ借りていない本の図書カードに自分の名前を入れることで印象づけていたんだ。これは映画でも天沢聖司自身が暴露したから正しい認識のはずだよ

しかし、図書室の本は膨大だから、手当たり次第というわけにはいかないだろう。ある程度”雫が好きそうな本”を絞り込む必要がある。つまり、天沢聖司は図書カードを片っ端から分析することで”雫が好きそうな本”の傾向を正確に把握していたと考えられるんだ！　好きな本というのは、ある意味では個人情報ともいえる。つまり、雫は知り合いでもなんでもない赤の他人に個人情報をソーシャル・エンジニアリングされていたというわけだよ

それだけじゃないよ。天沢聖司は雫の行動をすべて知っているかのように、偶然を装って各所に出現している。雫が落とした歌詞のメモを見られた場面があったよね

あれこそがまさにソーシャル・エンジニアリングの瞬間だよ！　あれに書かれていたのがコンクリートロードの歌詞だけだったからまだよかったけど、もしもGmailのパスワードだったらどうなる？　天沢聖司なら間違いなく素知らぬ顔ですばやくメモして、雫のGmailに不正アクセスして交友関係をチェックするね！

そして極め付きは終盤、天沢聖司が雫の自宅の下で早朝から張り込んでいた場面。なんとなく良いシーンみたいな雰囲気になってたけど、天沢聖司はどうやって雫の自宅の住所を知ったんだろう？

そう、つまり物理的な手段で個人情報を抜かれた……ソーシャル・エンジニアリングされたというわけだ。ここまでですでに雫は、「名前」「住所」「好きな本の傾向」という情報を天沢聖司に抜き取られているんだよ

必要以上に個人情報を出さないことだね。名前くらい、住所くらい、と思うかもしれないけど、それぞれのデータが組み合わさると個人を容易に特定できてしまう。たとえば僕なら図書カードに本名を書かない、学校の名簿に電話番号と住所を書かないといった方法で対処するかな

それから、もう一つ。『耳をすませば』のその後についても注意を喚起しておこう。恋人はもっとも身近な他人であり、自分の情報を多く持っている。だから、別れた恋人からのソーシャル・エンジニアリングには特に注意が必要だよ。たとえばパスワードを忘れたときによくある「秘密の質問」も危険だ。将来、雫が何かのウェブサービスに登録したとして、「秘密の質問」に「初恋の人の名前は？」という項目があれば、「聖司」に設定する確率は高いだろう。その質問と答えは、天沢聖司にとっては秘密でも何でもない。あっさりと不正アクセスされてしまうだろう

映画で見るような凄腕ハッカーにハッキングされるなんてのは、そうそうあることじゃない。だけど、ソーシャル・エンジニアリングは誰にでも起こりうることなんだ。そういうことを『耳をすませば』からは学んでほしいね