セキュリティ問題で騒がれるZoomですが、4月上旬のアップデートによって、設定内容の変更などがありました。最新の状態で気を付けるべきポイントをまとめなおしてみました。（2020年4月19日）
Zoomは非常に便利なビデオ会議ツールです。だからこそ、Zoomの安全な使い方をユーザーも学び、使いこなしましょう。
なぜZoomは危険なのか？
多数発見されてしまった脆弱性
Zoomは2019年、2020年で多くの脆弱性が発見されています。下記が主な脆弱性です。
- Webカメラやマイクをハッキングできる脆弱性
- Zoomメッセージを利用してWindowsの認証情報が盗める脆弱性
- Macでのローカル権限昇格を勝手にしてしまうマルウェアのようなプログラム
- Zoomで録画した動画がインターネット上で公にアクセスできる状態で公開されていた
- マーケティングを目的に必要以上に、時に同意なしで個人情報が収集されていた
これらの問題に対しては、Zoomが2020年4月上旬までにパッチの適応などで対策を取っています。ただ、やはりスタートアップだからこそ、まだセキュリティに関して未熟な面があるのは明確です。今後も脆弱性などが発見される可能性があるため、そのリスクは認識したうえで、Zoomを使い続けるのか、他のビデオ会議ツールを利用するべきか判断しましょう。
Zoomはハッカーに狙われる
良くも悪くも、新型コロナウィルスの影響で大きく注目されたため、ハッカーにも狙われやすくなっています。
注目されたり話題になるものでよく起きるハッキングが、フィッシングという手口です。Zoomを装ったメールを不特定多数に送り付け、メール内のリンクから不正サイトへ誘導し、決済情報やログイン情報などを盗み出そうとするメールも増えてきています。
Zoom爆撃
Zoom特有のサイバー攻撃が、Zoom爆撃です。Zoomは、パスワードを設定してない会議の場合、ミーティングIDさえわかれば、簡単に知らない会議に参加できてしまいます。
今はZoomのアップデートによって、デフォルトでパスワードが基本的に設定されるようになりましたが、それまではほとんどの会議にパスワードは設定されていませんでした。
ミーティングIDはシンプルな9桁の数字で構成されているため、無作為に打ち込むだけで、ほとんどの会議に簡単に忍び込める状況だったのです。そこで、見知らぬ第三者の会議に勝手に忍び込み、卑猥な画像や動画を表示したり、人種差別的な行為を行うというZoom爆撃が頻発しました。
そんないたずらだったら問題ないじゃないか、と思うかもしれませんが、この手法を使えば、大事な会議に知らないうちに忍び込まれて内容を盗み取られていた可能性もあるのです。
Zoomを安全に使うための3つの対策
このように、Zoomには、サービス自体にも欠陥は存在します。その上で別のシステムを利用するのも一つでしょう。とはいえ、Zoomが便利なのも事実。また、他のビデオ会議ツールを使ったからと言って安全が保障されるわけでもありません。なら、Zoomの安全な使い方を学ぶのもいいのではないでしょうか？
①Zoomのアプリは常に最新バージョンに更新しておく
Zoomをホストとして利用する人も、一般参加者として利用する人も、まず必ずしておくべきことが、Zoomアプリのアップデートです。Zoomは先にも述べたように、脆弱性が発見されるものの、それに対して迅速に対策のパッチを配布して対応しています。情報漏洩してしまう原因となりそうなシステムの欠陥を直したバージョンを配布しているイメージです。
そこまでZoomが頑張っていたとしても、結局利用しているユーザーがアプリのアップデートをしなければ、欠陥があるまま利用し続けることになり、ハッキング被害を受ける原因となってしまいます。
また、Zoom爆撃などを避けるための設定面の変更などもアップデートされているため、最新版に保つことで、これまで説明してきたような多くのリスクに対応できます。
②Zoomの設定 注意するべきは一項目だけ
Zoom爆撃のように、いつの間にか会議に参加している人に、いたずらや迷惑行為をされたり、会議内容を盗み取られないためには、ご自身のZoomの設定をしっかり行う必要があります。
とはいえ、実は、2020年4月上旬のアップデートで、ほとんどがデフォルトで安全な設定に変わったため、現在気にするべき設定は次の1点だけ。
ワンクリック参加機能を無効
この機能は、簡単に言えば、ミーティングを作成した際に、発行される参加用URLをクリックすればパスワードなしでログインできるようにする機能です。2020年4月19日現在では、この設定はデフォルトでは「有効」になっています。
会議にパスワードを設定していれば、参加用URLを知らないユーザーが参加する可能性が低くなります。ただ、もしも参加用URLを知られてしまえば、誰でも会議に入ってこれるようになります。
参加用URLが、少しでも不特定多数に公開されてしまう可能性がある場合は、「無効」に設定しておくことをオススメします。
デフォルトで問題なくなった設定
下記の3つの設定については、以前はデフォルトでは無効になっていて危険な設定でしたが、2020年4月のアップデート以降デフォルトで有効になった設定です。念のため、有効になっているか確認しましょう。
- 会議IDは常に自動生成
- 会議へのパスワード設定する
- 待合室機能を利用する
③フィッシングメールに気を付ける
Zoomを装ってユーザーIDやパスワードを盗み出そうとするフィッシングメールが増えています。身に覚えのないZoomミーティングの招待や、アカウント情報変更の確認などのメールには注意し、むやみにメール内のリンクを開かないようにしましょう。
送信元メールアドレスを確認
フィッシングメールでは、送信元のメールアドレスをよく見るとおかしいことが多々あります。怪しいメールだと感じた場合は確認してみると判別できるかもしれません。
迷ったら正規のウェブページからログイン
内容を見ても、正規の連絡か、フィッシングメールなのか、判別できないという場合は、メールのリンクをクリックせず、グーグルで公式のウェブサイトからログインしたり、ダウンロード済みのアプリからログインしてみましょう。