最近サポート詐欺に関するニュースが多いのですが、興味深いニュースがありました。
【速報】児童200人分の個人情報『教師のPC』から漏洩『片言の日本語』指示に教師が従ってしまう
■PC画面フリーズ「ウイルスにかかっています」とメッセージ
大阪府熊取町教育委員会は、町立の小学校教師がパソコンに保存していたおよそ200人分の児童の個人情報が漏洩したと発表しました。
熊取町教委によると先月29日、熊取町立中央小学校で30代の女性教師が資料作成中にネットで検索したフリーのイラストを資料に挿入しようとしたところ、パソコンの画面が突然フリーズし「ウイルスにかかっています」と書かれたメッセージが表示されました。
■メッセージに従い電話 指示通り操作「遠隔操作」開始
さらにウイルス感染からパソコンをサポートする旨のメッセージが届き、「505」から始まる10桁の電話番号が表示されたことから、教師はメッセージに従い電話をかけ、通話相手の指示通りパソコンの操作を行ないました。
そして、教師が通話相手の「初めにescapeキーを10秒押す」「その次にWindowsキーとRキーを同時に押す」という指示通りにパソコンを操作したところ、通話相手による遠隔操作が始まったということです。
■「修理代に3万円かかる」
その後、パソコンに表示されたチャットと電話を通じて20分ほどやり取りを続けると、通話相手に「修理代として3万円かかるので、至急クレジットカードかコンビニで振り込んでください」と伝えられました。
■片言の通話相手 支離滅裂な返答 不審に感じた校長が電話切る
ここで不審に思った教師は校長に電話を代わり、校長が通話先の相手に「あなたは誰ですか？」と尋ねたところ、「私はあなたのお父さんです」と返答がありました。
通話相手の日本語が片言で、なおかつ意味不明な返答だったため、おかしいと思った校長は電話を切り、パソコンをシャットダウンしましたが、再起動した際にはデスクトップに保存していた児童およそ200人分の個人情報を含むデータが無くなっていることが判明しました。
■児童200人分の情報漏洩 成績の所見など
漏洩したデータは、教師が受け持つ4年生のクラスの児童およそ30人が映る集合写真や個人名などが掲載されている学級通信と、教師がことし4月にこの学校に赴任する前に、岸和田市立の小学校で受け持っていた児童およそ170人分の活動記録や成績の所見を記した文書などです。
■個人情報は専用サーバーで保存のルールあり
教師は町教委の聞き取りに対し、「完全にサポートで教えてくれているという認識だった」と話しています。
熊取町立の小中学校では、個人情報が含まれる資料についてはセキュリティの整った専用のサーバーに保存し、インターネット環境があるパソコンのデスクトップなどに保存してはいけないというルールが存在していたということですが、今回はその運用が守られていませんでした。
■警察に被害届提出
今回の事案について、町教委は当該のパソコンなどについて、専門業者に調査を依頼していて、再発防止に努めるとしています。
また、警察に被害届を提出しています。
https://www.fnn.jp/articles/-/708476
典型的なサポート詐欺の事例ではあるのですが、いくつか不可解な点があります。
指示された操作の内容
記事の内容によると下記の操作まで実行したとのこと。
「初めにescapeキーを10秒押す」「その次にWindowsキーとRキーを同時に押す」
この２つの操作について、この書き方だとこれらの操作が危険だと誤解を与えかねないと思ったので説明すると、両方ともありふれた操作です。
特にESCキーを長押しする操作については、サポート詐欺の典型的パターンであるウィンドウを閉じられなくなる現象を解決するために必要な操作です。IPAもサポート詐欺のページが出てきて困ったらESCキーを長押しするよう啓発しています。
Winキー+Rキーはファイル名を指定して実行のウィンドウを呼び出すコマンドで、この操作自体も悪影響を及ぼすものではありません。ただし、ここからの操作によっては遠隔操作するための準備に繋がる場合があり、肝心なのはここからの操作なのですが記載がありませんね。記事にする過程で割愛されたのか、取材時点でそれ以上のことが確認できなかったのか。
個人情報の紛失事案に発展
結果として金銭をだまし取られる事態にはなりませんでしたが、個人情報を含むデータが消失してしまったとのこと。
通話相手の日本語が片言で、なおかつ意味不明な返答だったため、おかしいと思った校長は電話を切り、パソコンをシャットダウンしましたが、再起動した際にはデスクトップに保存していた児童およそ200人分の個人情報を含むデータが無くなっていることが判明しました。
あくまでデータが無くなっていただけなので、これが個人情報の漏えいだとは断定できませんが、データを紛失、または保管が必要なデータを意図せず削除してしまった場合は個人情報保護における事故に該当しますし、一連の流れから漏えいした可能性はゼロではありません。
運用方法の違反について
今回の事故で問題なのは運用方法が守られていなかったこと。個人情報を含むデータはインターネットに接続できる機器では取り扱わないルールだったがそれが守られていなかったようです。
熊取町立の小中学校では、個人情報が含まれる資料についてはセキュリティの整った専用のサーバーに保存し、インターネット環境があるパソコンのデスクトップなどに保存してはいけないというルールが存在していたということですが、今回はその運用が守られていませんでした。
ルールは守るべきではあるのですが、おそらくこの当事者の教員だけでなく、他の教員もやってそうでうすね。氷山の一角かと。これは学校だけでなくあらゆる企業で規程違反やシャドーITは発生しがちです。
また、今回のサポート詐欺云々よりもこっちの方が問題ではと思うのが、消失したデータに前の学校で受け持っていた児童のデータがあったことです。
教師がことし4月にこの学校に赴任する前に、岸和田市立の小学校で受け持っていた児童およそ170人分の活動記録や成績の所見を記した文書などです。
公立小学校の個人情報の取り扱いをあまり知らないのですが、別の小学校の児童のデータは共有する必要性などありませんし、利用するのは通っている小学校に関係する範囲内で個人情報の提供をしているはずです。そうなると個人情報を告知した目的以外で利用している、もしくは無断で第三者提供したと捉えられ個人情報保護違反をしていることになります。
LogMeInを使用された可能性
実際どのような手口なのかを考える上でヒントになりそうなのが下記の部分。
その後、パソコンに表示されたチャットと電話を通じて20分ほどやり取りを続けると、通話相手に「修理代として3万円かかるので、至急クレジットカードかコンビニで振り込んでください」と伝えられました。
チャットが表示されているようなので、リモートする側とされる側でチャットを使ってやり取りができるツールのようです。
Xを見ているとLogMeInではないかという方がいらっしゃり、実際にかかった方のキャプチャ画像を載せておられ、そこにはチャットの画面が表示されていました。
つまり、Winキー+RキーのあとにLogMeInをインストールするよう促され、リモートアクセスが確立した後にデータが消去された可能性があるといったところですね。
リテラシー不足は問題だが侮れない
サポート詐欺の対応方法としては知識やリテラシーを身につけるぐらいです。実際にマルウェアが仕込まれていることはあまりないようで、逆に言えばマルウェア対策ソフトでは対策してくれないのがサポート詐欺の厄介なところです。
Xでは「こんなのに引っかかるのかよ」といった、当事者を馬鹿にするような投稿も散見されました。確かにリテラシー不足が招いた事故ではありましたが、引っかかるのは愚かだと言うには被害の件数が社会問題レベルで多いです。それだけ人の心理の隙をつく巧妙な手口ですし侮ってはいけないと僕は思います。
フリーのイラストをネットで探す時は注意
Yahoo!ニュースのコメント欄も見ているとこの教師の常識を疑うという声があまりに多いのですが、その中にフリーのイラストを使うことに言及している人もいました。
僕としては「フリーのイラストを探して使うぐらい許してやれよ」って思いました。ちゃんと権利侵害していないイラストを探して使おうとしてるんですから。ちなみに作成していた資料の内容にもよりますが、学校教育において正当な範囲内であれば著作権で保護されているコンテンツも使用可能です。
「フリーのイラストを資料に挿入しようとしたところ」とあるので、イラストを公開しているサイトがサポート詐欺へアクセスさせたかのように見えてしまっている人もいるようで、そのサイトの責任を追求されていましたが、おそらくこれは検索結果からサイトにアクセスしようとした時点で詐欺ページに飛んだのではないかと思います。
僕が以前に投稿した記事では「楽天市場」で検索して１番上に表示されたページがサポート詐欺だったといったように、検索結果の中に紛れ込ませてきます。このケースではGoogle Adsを使った手の込んだものでしたが、イラストであれば複数のサイトをチェックするので最上位でなくてもある程度上の方に表示できていれば問題ありません。
さらにフリーのイラストを探す人は非IT系の職業でリテラシーが低い可能性が大きいのでターゲットにされやすいのではないかと思います。僕の職場では高齢者事業と保育事業の両方をやっているのですが、両方の事業所から塗り絵の資料を探している時にサポート詐欺のページにアクセスしたという報告を受けたことがあります。
犯罪組織はかなり分析してターゲットを狙いすました上で攻撃をしかけてきています。何度も言いますが侮れません。ネットのコメント欄では引っかかった人を批判する声で溢れかえってますが、そうやって「自分は引っかからない」と思い込んでいる人が次の被害者になってしまうのではないでしょうか。
コメント