ビジネス上のコミュニケーション手段がチャットやウェブ会議に移行しても、メールの必要性はなくなりません。特に取引先との連絡はやはりメールが主流であり、これを別のツールへ一本化するのは難しいでしょう。ということは、「メール経由でのセキュリティリスクも無くなることはない」と言えます。
従来型のメールサーバーであれば自社にてマルウェア/スパム対策を実施して脅威を検出しているケースがほとんどですが、クラウド環境の場合は既存の対策が及ばないことから、セキュリティ的に脆弱になる可能性が考えられます。そこで検討すべきなのが、クラウド環境で有効なメールセキュリティ対策です。
本記事ご紹介するのは、メールを通じてサイバー攻撃の存在を、それらの脅威からユーザーを保護するMicrosoft 365のセキュリティ対策です。セキュリティ性の高いクラウドサービスを選ぶ際の参考にしていただければと思います。
メールを通じてサイバー攻撃の種類
メールはよく「サイバー攻撃の勝手口」だと言われます。メールという古典的なコミュニケーション手段だからこそ、その脆弱性を狙ったサイバー攻撃が実は多いのです。特に警戒が必要な「標的型攻撃メール」を含め、メールを通じて展開されるサイバー攻撃をご紹介します。
標的型攻撃メール
2015年の日本年金機構個人情報流出事件より、一躍有名になったのが「標的型攻撃メール」です。これは業界関係者や政府関係者などを装いメールを送信し、そこに添付されたファイルを展開させることで端末をマルウェアに感染させる手法です。
なぜ危険かというと、ターゲット（標的）を決めて偽装メールを送信するためサイバー攻撃であることを見抜くのが難しく、言われるがままに添付ファイルを展開するケースが非常に多いからです。警察庁がサイバーインテリジェンス情報共有ネットワークを通じて把握した標的型攻撃メールの件数は平成27年（2015年）で3,828件だったのに対し、平成30年には2倍近い6,740件に増加しています。令和元年こそ前年から1,400件ほど減少しているものの、標的型攻撃メールが広く確認されるようになってから増加したことに変わりありません。
参考：警察庁「令和元年におけるサイバー空間をめぐる脅威の情勢等について」
フィッシング詐欺
一般的なフィッシング詐欺は金融機関など実在する組織に成りすまし、メール内に指定されたURLへ誘導してそこからクレジットカード番号やクラウドサービスのIDとパスワードなどを不正に入手するサイバー攻撃です。
本来、金融機関等がメールを通じて特定のサイトへ誘導し、そこにクレジットカード情報や個人情報等を入力させることはありません。しかし、巧みな攻撃によって被害に遭うネットユーザーが続出しています。
検察庁の調べによると、令和元年におけるインターネットバンキングに関わる不正送金事犯の発生件数は1,872件と前年から6倍に転じています。被害総額は約25億円に上り、やはり金融機関を装ったフィッシング詐欺の手口によるもと考えられています。
メール内容の盗聴
メールというのは、送信者がメッセージを送信してから受信者の所へ届くまでにインターネットやメールサービスを運営している事業者のメールサーバー等を経由します。その際にメールの中身が盗聴されるlこともあり、メッセージ内にクレジットカード情報や個人情報に関わる掲載があると、そこから様々な被害を受けることが想定されます。
（例外）メールの誤送信
サイバー攻撃ではないものの、メールの誤送信によって情報漏洩に至るケースが多発しています。送信先メールアドレスの入力ミス、送信するつもりのない個人情報の記載などにより、企業の機密情報等が外部に漏れてしまう可能性があります。
Microsoft 365のメールセキュリティ
上記のように、クラウドメールはサイバー攻撃による脅威に晒されており、これらの攻撃を以下に防ぐかによってセキュリティ性が決まります。重要なのは、メールサービスが備えているセキュリティ対策機能に着目することです。それでは、Microsoft 365がクラウドメールに対してどのようなセキュリティ対策を講じているかをご紹介します。
Exchange Online Protection (EOP)
EOPはMicrosoft 365のクラウドメール「Exchange Online」に標準搭載されているセキュリティ機能であり、次のような機能によってサイバー攻撃を阻止します。
- 脅威を排除
脅威が会社のファイアウォールに到達する前に、マルチレイヤーのリアルタイムスパム対策とマルチエンジンのマルウェア対策で排除する。 - 品質サービス
返金制度を規定した5つのSLA（Service Level Agreement/サービス品質保証）で質の高いサービスを約束。たとえば、既知のウイルスからは100%、スパムからは99%保護する。 - Exchange管理センター
管理作業を、Exchange管理センターという単一のWebベースインターフェイスから実行できる。 - コンテンツ フィルタリング
アクティブなコンテンツ、接続、ポリシーベースのフィルタリングで、会社のポリシーや政府規制へのコンプライアンスを実現する。 - ハードウェア不要
ハードウェアもソフトウェアも不要、インストール、管理、メンテナンスを行う必要がないため、先行投資が最小限に抑えられる。 - 保守が簡単
Eメール内のIT 環境をシンプルに: 社内にメール セキュリティのサーバーやアプリを導入する必要性を減らします。 - 展開が簡単
単純な MX レコードの変更だけで、稼働を開始できる。 - セキュリティ
会社の IP 評価を守るために、高リスクのメールには別のアウトバウンド配信プールを使用する。 - 信頼性
世界各地のデータセンターを結んで負荷を分散しています。ネットワークアップタイム99.999%の保証に役立っている。 - レポート
ほぼリアルタイムのレポートとメッセージ トレースの機能で、メール環境の状況をより深く把握。Exchange Online Protection が処理するどのメッセージについても、そのステータスを取得することができる。
Office 365 Advanced Threat Protection
Office 365 Advanced Threat Protectionはランサムウェアなどの各種マルウェア、有害なリンクなどを保護するクラウドベースのメールフィルタリングサービスです。悪意にあるメールやファイルなどからユーザーを保護します。
また、高度な添付ファイルスキャンとAIを組み合わせたソリューションにより危険なメールを検出して破棄します。Eメールなのリンクは自動的にチェックが行われ、安全でないWebサイトへのアクセスはブロックされます。
こちら「メールセキュリティソフトとは？ その基本的な機能や導入メリット」記事もご参考にしてください！
まとめ
以上のように、Microsoft 365はクラウドメールに対するサイバー攻撃を効果的にブロックし、安全性を保ちます。利便性は高いものの危険に溢れているクラウドメール。だからこそ、Microsoft 365のようにセキュリティ性の高いサービスをご選択ください。
HENNGE One はOffice 365、G Suite、Box、LINE WORKSなど複数のクラウドサービスへのセキュアなアクセスとシングルサインオンを実現するSaaS認証基盤です。IP制限、デバイス証明書、セキュアブラウザ、二要素認証など豊富な認証機能で利便性と安全性のバランスのとれたセキュリティサービスを提供します。
また、Windows、Mac、iOS、Androidなどマルチプラットフォームに対応します。会社支給デバイス、私用デバイスなど利用用途に応じた様々なアクセス制限にも対応します。
一方で本稿で例外として掲げたメールの誤送信ついては別途対策を取ることが必要です。
HENNGE Oneのようなサードパーティ製のサービスでは送信メールを条件によってフィルタリングし、一時保留や上長承認フローの起動、送信禁止といった対策を取ることが可能です。
是非企業のセキュリティ対策にHENNGE Oneも併せてご検討ください。
参考記事：セキュリティ対策ツールを一覧で紹介
