パスワード付ファイルは安全か

PDFファイル、Excelファイル、または圧縮ファイルにパスワードを掛けると、パスワードなしでは、ファイルを開けなかったり、解凍できなかったりします。この仕組みを利用して、昔から機密文書をメールで送るときはパスワード付ファイルを添付して送信、パスワードだけ別メールにて送信ということがなされてきました。
おかげで、メール本文に書けば済むような短文でも、わざわざファイルにして圧縮してパスワード付で来る。しかもパスワード付ファイルは見た目では分からず、クリックしてパスワードを要求されてようやくパスワードがかかっているのに気づくのです。閲覧制限されると、かえって余計に見たくなるものですが、メールの受け取るタイミングによってはパスワードがどれかわからず、またやり直してもらう -- ということもときどきあります。なんと、スマートさに欠けるドンくさいやり方でしょう！
とはいえ、それで機密が守られ、安全にやりとりできるのであれば我慢もできます。
しかしじつは、このやり方は安全とは言えないのです。

パスワード付ファイルはウイルスチェックされない

アンチウイルスソフトは、パスワード付ファイルに関してはウイルスチェックしません。
通常、アンチウイルスソフトはユーザーがファイルにアクセスしたとき、あるいは USB メモリなど新しいデバイスと接続したときなどタイミングで、ファイルを隔離してソースを開き、ウイルスチェックをします。圧縮ファイルの場合も同様に、アンチウイルスソフトが解凍してそのファイルの安全確認をしています。
しかし、パスワード付のファイルはアンチウイルスソフトでは開けないので、ウイルスチェックしないのです。ふだん見逃されていることですが、これは重要なポイントです。

わざわざパスワードで開かなければ感染しないようなウイルスを送りつける者はいないさ、というのは、標的型メール攻撃を仕掛けてくる者にすれば、都合のよい思い込みです。

標的型メール攻撃とは、特定の人物にターゲットを絞り、知人や取引先、あるいは一般人を装ってメールを送り、お金や騙し取ったり、機密情報を盗み取ったりする手法です。機密情報を盗み取るためには、ターゲットが所属するネットワーク内部に潜入するために、ターゲットをウイルス感染させる必要があります。
添付ファイルを使う場合、アンチウイルスソフトの監視から逃れなければならず、通常は、攻撃用に全く新しい潜入ウイルスを入手しなければなりません。しかしよく知られた既存のウイルスでもパスワード付ファイルにすれば、アンチウイルスソフトをかわすことができます。

ターゲットが日常的にパスワード付ファイルを扱っていると知れば、攻撃者は新しい潜入ウイルスを入手するなどという手間を掛けずに、パスワード付の既存のウイルスを送りつけてくるでしょう。ターゲットの知人や取引先になりすまして。

これまでも書いてきましたが、メールアドレスを偽るのは簡単なことなのです。

ターゲットにされた人は、いつもの取引先だと思えば、たとえ何か違和感があっても、とりあえず添付ファイルを開いて、内容を確認しようとするのではないでしょうか？ アンチウイルスソフトが作動しないから、安全だと思い込んで、パスワードをあてて平気で開いてしまう。たちまちウイルス感染し、バックドアが作られ、個人情報などの重要なデータや機密情報が大量に流出する・・・。

ですから、機密文書をパスワード付ファイルでやり取りする習慣は、標的型メール攻撃において、ウイルスファイルを確実にクリックさせる手段を提供しているともいえます。

パスワード付ファイルに代わる方法

機密情報をやり取りするには、これまで何度か書いてきたように、メールの暗号化という方法が有効です。

暗号化プロトコルであるTLSに対応したメールサーバーを使ってメールを送信すれば、送信サーバーが自動的にメールと添付ファイルを暗号化して送信します。一方、暗号化されたメールを受信した場合、受信サーバーが自動的に復号化してくれます。

メールを暗号化していますか
メールを暗号化していますか 2

もし、送信側・受信側双方のメールサーバーが暗号化に対応していれば、添付ファイルにパスワードを付ける必要はなくなります。当然、アンチウイルスソフトも添付ファイルのウイルスチェックをしてくれます。
ユーザーが人力で暗号化/復号化するのに比べて、はるかに安全で効率的です。

まとめ

これまで、機密文書をメールで送る際、別ファイルにしてパスワードを掛けて添付して送信、さらにパスワードだけ別メールで送信するということがなされてきました。しかし、この方法は安全とはいえません。パスワード付のファイルはウイルスチェックできないからです。もし、標的型メール攻撃の攻撃者が知人や取引先になりすまして、パスワード付のウイルスを送ってきたら、あなたは高い確率でウイルス感染し、機密情報などの情報流出の起点になってしまうでしょう。
機密情報をパスワード付の添付ファイルしてやり取りする習慣をやめ、メールサーバーのレベルでメールを暗号化するほうが、安全で効率的です。