ユーザーデータを安全に保つための Google の取り組み

ハッキング、フィッシング、マルウェアなど、サイバー犯罪者はさまざまな手口でユーザーのアカウントを乗っ取ろうとします。Google の Stephan Micklitz と Tadek Pietraszek はそうした犯罪を防ぐための取り組みを担当しています。

Pietraszek さんのチームはユーザー アカウントの保護に取り組んでいますが、どのようにしてハッカーによる不正アクセスを阻止していますか？

ユーザー アカウント セキュリティのプリンシパル ソフトウェア エンジニアを務めるTadek Pietraszek: 第一に、最初の攻撃を検出できることが重要です。私たちは不審なアクティビティを特定するために、100 を超える変数を使用しています。たとえば、ドイツに住んでいてほとんど海外旅行をしないユーザーがいたとして、何者かがドイツ以外の国からそのアカウントにアクセスしようとした場合、そのユーザーに対して警告を行います。

Google のプライバシー＆セキュリティ チームのエンジニアリング部門ディレクター、Stephan Micklitz: Google がときどき登録電話番号や、アカウント所有者しか知り得ないその他の情報の確認を行うのはそのためです。

そのような攻撃の発生頻度は？

Pietraszek: 毎日数十万件のサイバー攻撃が仕掛けられています。最大の問題は、ハッキングされたウェブサイトから盗まれたユーザー名とパスワードのリストが、インターネット上に無数に公開されていることです。多くのユーザーが異なるアカウントに同じパスワードを使用しているため、そうしたリストには Google アカウントのログインデータも含まれています。

そのリストの存在が、最大のセキュリティ脅威であると？

Pietraszek: そのとおりです。もう一つの脅威として、古典的なフィッシング攻撃があります。ほとんどのユーザーが、犯罪者がアカウント パスワードを入手しようとして送信したメールを受信しています。私たちは当然、そのような攻撃を阻止できるように対策を講じています。Gmail の受信トレイに届いたメールが疑わしいと Google が判断した場合、ユーザーに注意を喚起するために警告マークを表示したり、メールを自動的に除外したりできます。Chrome ブラウザでも、Google がフィッシング サイトと見なしているサイトにアクセスしようとすると、警告が表示されるようになっています。

Micklitz: フィッシングには 2 つの基本的なタイプがあります。メールの大量送信は、攻撃者が可能な限り多くのログインデータを収集するために使用します。一方、「スピア フィッシング」と呼ばれる攻撃は、特定の個人のアカウントを標的として行われます。こうした攻撃は、数か月かけて非常に巧妙に行われる場合があります。その間、攻撃者は標的とする個人の生活を詳しく調査したうえで、その個人に的を絞った攻撃を仕掛けます。

過去にあった大規模なサイバー攻撃の例と、それにどのように対処したかを教えてください。

Pietraszek: たとえば、2017 年の前半に発生した攻撃があります。ハッカーは悪意のあるプログラムを作成し、それによって攻撃対象ユーザーの Google アカウントにアクセスして、そのユーザーの連絡先に偽のメールを送信しようとしたのです。メールの内容は、偽の Google ドキュメントへのアクセス権を付与するよう受信者に求めるものでした。その要求に従った受信者は、不本意にもにマルウェアにアクセス権を付与してしまい、それによってその受信者の連絡先にも自動的に同じ偽メールが送信されたため、ウイルスが急速に広がりました。Google では、こうした状況に対処するための緊急時対応計画を用意しています。

Micklitz: このケースでは、Gmail での偽メールの配信をブロックし、問題のプログラムに付与されたアクセス権を取り消すことで、アカウントを保護しました。また、今後同様の攻撃を受けにくくするために、体系的な安全措置を追加しました。Google アカウントは常に攻撃にさらされているため、自動システムを使用することで最も効果的な保護を提供できます。ただし、そのためには Google アカウント以外の手段（予備のメールアドレスや携帯電話番号）でユーザーと連絡を取れる必要があります。

写真: Conny Mirbach