4月下旬から5月上旬の連休時期にかけて、多くの緊急セキュリティアップデートが発表されました。「ゼロデイ攻撃」という、修正プログラム（セキュリティパッチ）が用意される前の脆弱性を突いて侵入する被害が多くあり、ファイルの暗号化で身代金を要求する、ランサムウェアを設置されたサーバーも相当数あったようです。

　弊社でもセキュリティパッチが公開されるとすぐに、深夜帯に何度もアップデート作業を繰り返しました。

　AIの進化により、脆弱性を探すホワイトハッカー的な使われ方が急激に進んでいます。防御となるセキュリティパッチの開発もまたAIが取り組んでいるようです。このようなAIが一般公開されると悪用されかねないので、有償で限定された箇所を利用可能にするビジネスモデルになるように思います。

　さて、セキュリティパッチはベンダーがサポートしているバージョン向けにのみ提供されます。ですから、既にサポートが終了しているWindows 7や8、古いMac、iOS、Androidなどはパッチが提供されません。脆弱性は潜んだままですから、攻撃を受ければリスクは極めて高くなります。

　また、OSを新しいバージョンへ更新すると、それまで利用していたソフトウェアも改修や作り直しが必要になる場合があります。そのため、「使えているから、今のままでいいよ」や「改修費用が高いし」と更新を見送ると、その結果として攻撃対象となって被害を受け、一方で乗っ取られて加害者にもなり得ます。

　セキュリティはお金を生み出しません。しかしながら、ITを使用し続ける以上はお金を投じるべき分野です。

投稿 「今、使えているからいいよ」｜いえ、バージョンアップが必要です｜IT回りはデンジャラス Vol.39 は ACCESS ONLiNE に最初に表示されました。

　Webサイトもメールも、管理者による管理下において、公開・運用されています。例えば、どのようなサイトが公開されているのか、どのような仕組みで稼動しているのか、どのくらいアクセスがあるのか、管理画面には誰がログインできるのか、前回パスワードを変更したのはいつか等々、本来ならば把握しておかなければならないはずです。

　ところが、「よくわからない」、「専門ではない」という理由で、「管理者」の業務を放棄（丸投げ）していないでしょうか。

不正ログインの脅威と「パスワード使い回し」に潜むハッキングリスク

　昨今、不正アクセスによる被害が増えています。正規の手段ではない方法で入手したアカウントのパスワードを用いてログインすることを、「不正ログイン」と呼びます。これは、パスワード総当たり攻撃で入手したパスワードが原因とは限りません。

　例えば、「一本化」した同じパスワードを使い回していた場合、どこかでログイン情報が漏れると辞書に登録され、意外と早くハッキングされます。身代金を要求されたり、データを全削除されたり、その際の責任は「管理者」にあり、いざ事件が起きれば「なぜ把握していなかったのか」と追求されます。

知らない間に加害者に？今すぐ必要なIT関連の「棚卸し」

　一度、IT関連の棚卸しをして全容を把握し、「紙に残しておく」のも悪くない話です。なぜなら、PCがハッキングされたら、データは開けなくなりますから。

　一方で、把握できていないのならば、「脱IT」をすべきかもしれません。攻撃の多くは、「把握されていない」IT資産（Web、メール、ネットワーク機器等）から行われており、知らない間に加害者になっているからです。

著者紹介：安藤究真　Kyuma Ando
サーバー一筋23年。2000年に株式会社チロロネットを創業してレンタルサーバーサービスの提供を開始。2015年にチロロネットベトナムを設立。2018年からはベトナムでもサーバー・クラウドサービスを提供している。

▼あわせて読みたい：ベトナムでのITリスク管理に役立つ関連記事

投稿 専門でないから…その丸投げ、危険です｜今こそ必要な「棚卸し」と管理者責任｜IT回りはデンジャラス Vol.38 は ACCESS ONLiNE に最初に表示されました。

　桜の開花宣言を耳にする季節となりました。赴任者の出入りが多いこの時期、セキュリティの見直しをする絶好の機会です。

パスワード管理と不要なアカウントの徹底削除

　・パスワードを変更しましょう。昨今のCPU処理能力向上により、英数字記号混在でも総当たり攻撃で意外に早く解析されてしまいます。サーバーやWebサイトの管理画面も同様で、既に改ざんされているかもしれません。ただ、覚えにくい乱数にしても、付箋に書いてモニターに貼っていたら元も子もないですが……。

　・不要なメールアカウントは削除しましょう。知らない間にパスワードアタックの対象となっている他、迷惑メールを大量送信しているかもしれません。

　・サーバーの空き容量を確認しましょう。不要な「そのうち消そうファイル」群が潜んでいるかもしれません。

私物端末のルール確認と詐欺メールへの訓練

　・個人端末（特に私物）の扱いを確認しましょう。退社と同時に社内データを持ち出している可能性もあります。

　・各種機器のセキュリティアップデートを実施しましょう。DDoS攻撃元の多くは、脆弱性を突かれて乗っ取られたWi-Fiルーターだったりします。加害者にならないためにも。

　・詐欺メールの対応について勉強会と訓練をしましょう。社長名や拠点長名を騙ったビジネス詐欺メールが増えており、日本語のみならずベトナム語のメールも確認されています。スタッフがクリックしていたり、危険なLINEグループを開設してしまった後かもしれません。

　備えあれば憂いなしとも転ばぬ先の杖とも、昔の人は言いました。ビジネスが止まってしまう前に、ぜひセキュリティを見直してください。

著者紹介：安藤究真　Kyuma Ando
サーバー一筋23年。2000年に株式会社チロロネットを創業してレンタルサーバーサービスの提供を開始。2015年にチロロネットベトナムを設立。2018年からはベトナムでもサーバー・クラウドサービスを提供している。

▼あわせて読みたい：ベトナムでのITリスク管理に役立つ関連記事

投稿 春だからこそ、セキュリティの見直しを｜ビジネスが止まった後では遅いです｜IT回りはデンジャラス Vol.37 は ACCESS ONLiNE に最初に表示されました。

　ここ最近、生成AIサービスを使う人が増えましたが、問題も起きています。インターネット普及前、情報は主に書籍から得ていました。一般的に出版物は複数の人間が内容を確認しているため、嘘や間違いがほぼありません。

生成AIが導き出す「正解のような間違い」のリスク

　一方、生成AIはインターネット上にある情報を取捨選択しますので、個人のブログからフェイクサイトまでが情報源となり、回答がズレることがあります。とあるお客様からのお問合せです。

実例：AIの回答に固執し、噛み合わないトラブル解決の現場

「WordPressで稼動しているWebサイトを改修したら、403エラーという画面が表示されます。これはサーバーの問題ですので、私の通信を遮断していないか管理者に確認してください」

エラーコードが示す真実と、AIが読み飛ばした「文脈」

　ブラウザ上でエラーコードが表示されるなら、通信そのものはサーバーに到達しています。その旨を回答すると、「ファイアウォールで通信を遮断していないか確認してください」と返答。ファイアウォールでの通信遮断なら「接続できません」と表示されるので、プログラムや設定によるエラーと思われます。そのことを詳しく説明すると、「以上の経緯により、通信が遮断されているため、サーバー管理者に解除を依頼します」との返答。

情報リテラシーとは「最後は人間が判断する」こと

　多分、生成AIで調べているのでしょう。会話が堂々巡りで進んでいないことがおわかりと思います。対策が適切か否かは最後は人間が判断すべきでしょうし、それには状況や経緯を考慮する必要があります。AIが常に隣で人の一挙一動を把握していれば別かもしれませんが、目の前のことだけを聞くと、経緯が異なる似た事象が回答になり得るのです。

　情報リテラシーが試される時代に突入したようです。

著者紹介：安藤究真　Kyuma Ando
サーバー一筋23年。2000年に株式会社チロロネットを創業してレンタルサーバーサービスの提供を開始。2015年にチロロネットベトナムを設立。2018年からはベトナムでもサーバー・クラウドサービスを提供している。

投稿 生成AIサービス時代のリテラシー｜便利さの裏で試される判断力｜IT回りはデンジャラス Vol.36 は ACCESS ONLiNE に最初に表示されました。

名前だけ本物？「社長なりすましメール」の巧妙な手口

　年末より、「面白い」なりすましメールが大流行しています。例えば…。

差出人：安藤 究真<MamulaShealy17061979ohxg@hotmail.com>

件名：株式会社チロロネット

本文：今オフィスにいらっしゃいますか？お願いしたいことがあります。メールでご返信ください。

安藤 究真

株式会社チロロネット

　Outlookやスマホなど最近のメールソフトは、差出人の名前のみが表示され、メールアドレスは表示されません。それを逆手に取って、見える部分だけ「なりすまし」したメールが社内や取引先宛てに送信されています。

　「あ、社長からだ」と思って違和感なく返信すると、メールアドレスが搾取されるパターンです。中には「LINEグループを作ってください」といった本文も見受けられます。

なぜ「自分宛て」にピンポイントで届くのか？

「どうやって社名や社長名を調べたの？」、「内部感染じゃないの？」という問合せも多く受けておりますが、差出人はGmailやHotmail等のフリーアドレスを用いて、日本国外から送信されています。

　社名、代表者名、ドメイン名等はAIを駆使して各企業のWebサイトから収集し、存在しそうなアドレス宛てに送信。たまに本物のメールアドレスに送られることもあり、パスワードをハッキングされてメールアドレス自体が漏れている可能性もあります。実在する会社名（しかも自社！）と社長名ですから、メールフィルタを掛けると本来のメールが受け取れなくなり、打つ手立てがありません。

　今のところ日本語だけで日本向けに送信されていますが、対岸の火事と思うのは早計です。対策は「必ず差出人のメールアドレスを確認」です。ご注意ください。

著者紹介：安藤究真　Kyuma Ando
サーバー一筋23年。2000年に株式会社チロロネットを創業してレンタルサーバーサービスの提供を開始。2015年にチロロネットベトナムを設立。2018年からはベトナムでもサーバー・クラウドサービスを提供している。

投稿 新手のなりすましメールが大流行｜差出人メールアドレスを確認しましょう｜IT回りはデンジャラス Vol.35 は ACCESS ONLiNE に最初に表示されました。

　GmailがPOP受信機能を停止してから1ヶ月近くが経ちました。Gmailアプリを利用し、IMAP方式での受信に変更された方もいるかと思います。

　POP受信は、メールサーバー上にあるメールボックス「受信箱/INBOX」にあるメールをすべて受信し、自身のPC等へ保存します。一方のIMAP受信は、メールデータは全てメールサーバー内にあり、メールソフトは「覗きに行く」形式です。そのため、手元のPCにメールデータは残りません（メールソフトによっては「同期」や「ダウンロード保存」に対応）。

　IMAP受信ではフォルダ分けの情報もすべてメールサーバー内に残るため、どのメールソフトで接続しても同じフォルダ構成が再現されます。そのため、自動振分け機能でのメールの振り分けが可能ですが、フォルダに振り分けたメールはPOP受信ができません。なぜなら、POP受信は上記の「受信箱/INBOX」にあるメールを受信する仕組みだからです。

　おぉ、それは困ると逆にフォルダを作成せず、全メールを受信箱/INBOXに貯め続けると…数万通を超えた辺りからIMAP同期にエラーが出始めます。そうなると、メール一覧やメール本文の取得に時間を要するようになり、やがて、それらのメールは開けなくなってしまいます。救済方法は「メールサーバー上のメールの削除」のみです。最も避けたいですよね。

　POP受信とIMAP受信の併用では、日々の運用にご注意ください。ちなみに筆者は、メインはPOP受信でサーバーに14日間コピーを残す。そしてスマホ等から閲覧するためにIMAP受信を設定。過去14日分しか閲覧できませんが、致し方ないと割り切っています。

著者紹介：安藤究真　Kyuma Ando
サーバー一筋23年。2000年に株式会社チロロネットを創業してレンタルサーバーサービスの提供を開始。2015年にチロロネットベトナムを設立。2018年からはベトナムでもサーバー・クラウドサービスを提供している。

投稿 メールの貯めすぎにご用心｜ある日、過去メールが開けなくなるかも｜IT回りはデンジャラス Vol.34 は ACCESS ONLiNE に最初に表示されました。

　パスワードが漏洩し、または解析され、なりすましログインをされるケースがとても増えています。情報が盗み出されるのみならず、悪用されてしまったら、他人にも迷惑をかけてしまいます。

　そのため、ランダムな桁数の多いパスワードにする手法が取られたり、定期的なパスワードの変更も推奨されました。しかし、長いランダムなパスワードは覚えられない……。ならば付箋を貼る？　手帳に書く？

　そんな中、Google ChromeやApple Safariなどで、「もうパスワードは覚えなくても大丈夫」といった文言を見たことはないでしょうか。「パスワードマネージャー」や「キーチェーン」という名称で使われている、これが「パスキー」です。

　各端末が保持している秘密暗号鍵を同期させることで、他の端末でもログイン情報を共有できるようになります。端末が壊れて覚えさせていたアカウントにログインできなくなる事態が回避されますし、一方で新しい端末でも引き続きシームレスにログインができます。

　パスキーの一番のメリットは、フィッシング詐欺に引っかからないことです。秘密暗号鍵は端末に、その対となる公開暗号鍵は各ドメインごとのサーバーに格納されるので、他のWebサイトやドメインでは利用ができません。

　また、専用の機器は不要で、一般的なブラウザやスマートフォンに対応。その端末を利用する際に生体認証などを用いれば、多要素認証（2FA）となってより安全性を確保できます。

　パスワードが漏洩して盗み読みされることは、大量メール送信の踏み台にされるよりも避けたいところです。

著者紹介：安藤究真　Kyuma Ando
サーバー一筋23年。2000年に株式会社チロロネットを創業してレンタルサーバーサービスの提供を開始。2015年にチロロネットベトナムを設立。2018年からはベトナムでもサーバー・クラウドサービスを提供している。

投稿 パスワードの苦労はしなくていい？｜代わりとなる「パスキー」に注目｜IT回りはデンジャラス Vol.33 は ACCESS ONLiNE に最初に表示されました。

　Gmailアプリに、自身のドメイン名のメールアカウントを追加設定し、送受信されている方は非常に多いと思います。それが来年の1月以降はできなくなります。（ちなみに、@gmail宛てへのメール転送は、2021年から受け取らない仕様に変更されています。ご存じですよね？）

　2025年10月にGoogleは、他のメールアカウントをGmail上で受信する機能を、2026年1月に終了する方針を発表しました。これにより、自身のドメイン名のメールアカウントをGmail上で利用する場合は、Gmailアプリにて「IMAP接続」の設定を追加する必要があります。ただ、Gmailのブラウザ版ではIMAP接続でも機能が使えなくなります。

　メールサーバーがIMAPに対応していない場合は、POPに対応しているOutlookやSparkなど、他のメールアプリを導入する必要があります。

　POPとは、メールを自身の端末に保存するメール受信方式です。オフライン環境でもメールを読むことができるため、例えば飛行機の移動時などに重宝します。一方で、自身の端末が「正」となるため、パソコンなど機器の入替え時には、過去のメールの引っ越し作業が必要となります。

　一方、IMAPはサーバー上のメールボックスを参照する方式です。オンライン環境が必須で、サーバー上が「正」となります。全てのメールがサーバー上に蓄積されるため、ある程度のサーバー容量が必要です。ただ、パソコンとスマホとでメールを利用する場合などは、同じメールボックス環境が使えるので便利です。

　忘れていると、Gmailアプリでのメールが突然届かなくなります。その前に早めに移行作業をお願いします。

著者紹介：安藤究真　Kyuma Ando
サーバー一筋23年。2000年に株式会社チロロネットを創業してレンタルサーバーサービスの提供を開始。2015年にチロロネットベトナムを設立。2018年からはベトナムでもサーバー・クラウドサービスを提供している。

投稿 GmailのPOP受信が1月終了｜届かなくなる前に設定変更を｜IT回りはデンジャラス Vol.32 は ACCESS ONLiNE に最初に表示されました。

　今や、目には見えないとても大切な資産となった「情報」。その重要な情報資産を守るために、情報セキュリティの三原則という言葉があります。国際規格のISO 27001では以下のように定義されています。

　・機密性（Confidentiality）：許可された人だけが情報にアクセスできるように制限すること。

　・完全性（Integrity）：情報が改ざん・破損されていない、正確で信頼できる状態を維持すること。

　・可用性（Availability）：必要なときに情報やシステムにアクセスし、利用できる状態を維持すること。

　頭文字をとってCIAとも呼ばれ、これらのどれか1つでも欠けることは「セキュアではない（セキュリティが守られていない）」と判断されます。

　例えば、大切な情報を封筒に入れて、金庫に閉まって鍵を捨てれば安全かもしれませんが、使いたいときに使えないので「可用性」が満たされません。

　何とか金庫をこじ開けても、保管していた紙の印字が色あせて読めなければ、情報のすべてが把握できず「完全性」が満たされません。

　では紙の異常を見極めるために透明の封筒に保管すると、誰でも見えるので「機密性」が満たされません。

　「機密性」ばかりが重要視されがちですが、意外に大切なのは「完全性」です。大切に保管していた情報が改ざんされて正しくなくなったら、一部を失っていたら……漏れても困りますが、意味を成さなかったら未来はなさそうです。

　一度、情報資産を洗い出し、きちんと三要素が満たされているかどうかを振り返ってみるのも悪くないと思います。

著者紹介：安藤究真　Kyuma Ando
サーバー一筋23年。2000年に株式会社チロロネットを創業してレンタルサーバーサービスの提供を開始。2015年にチロロネットベトナムを設立。2018年からはベトナムでもサーバー・クラウドサービスを提供している。

投稿 IT回りはデンジャラス Vol.31｜情報セキュリティの三原則｜「セキュアな状態」って何？ は ACCESS ONLiNE に最初に表示されました。

　増え続ける迷惑（SPAM）メールを判別する迷惑メールフィルタ。もしかして、過信していませんか？　これは「送信元のパーソナリティ」、「相手先」、「他人のメールを元にした傾向と対策」などにより、当該メールが迷惑メールかどうかを機械判定しています。

　そのため、例えば父親（中年男性）が娘（若い女子）にメールしても、「SPAM」として誤判定されてしまうような寂しい事案は、古今東西まだまだ続くようです。

　以下、実話です。あるお客さんが取引先にメールを送ると、約72時間後に英文のエラーメールが返信。意訳すると、「不幸なことに、あなたのメアドは我々のブラックリストに載っているためブロックした。だから届いていない。解除方法は以下の通り（とリンク先あり）」

　お客さんは焦ってリンク先の指示に従い、ブロックの解除申請をします。すると、「あなたのメールはブロック対象リストに載っていない」との返信。え？　どういうこと？？

　メール送信の仕組みとして、送信元サーバーは相手のメールサーバーを「ノック」します。今回はそこで「受け手のブロックリストにより拒否」されたのですが、その理由は明らかにされず、「ブロックリストに載っていない」という矛盾。

　つまり、受け手側の「誤解」による「門前払い」ですから、受信したユーザーやそのサーバー会社が対応すべき問題で、送り手側は為す術がありません。しかも、受け手はフィルタリングされているのでその事実を知らない……。

　あまり知られていませんが、「相手側フィルタの誤判定」で大切なメールが届かない場合もあるのです。

著者紹介：安藤究真　Kyuma Ando
サーバー一筋23年。2000年に株式会社チロロネットを創業してレンタルサーバーサービスの提供を開始。2015年にチロロネットベトナムを設立。2018年からはベトナムでもサーバー・クラウドサービスを提供している。

投稿 IT回りはデンジャラス Vol.30｜迷惑メールフィルタの過信は危険｜フィルタリングの矛盾でメールが不達 は ACCESS ONLiNE に最初に表示されました。