モバイルデバイスのセキュリティに対する脅威は以前から存在していましたが、テレワークの増加とともに脅威の機会が増加しています。モバイルデバイスセキュリティの脅威は、数が増えているだけでなく、標的の範囲も広がっています。テレワークによってモバイルデバイスへの依存度が高まるにつれ、サイバー犯罪者はこれらのデバイスを標的にする動機がますます強くなっています。ここでは、最も一般的なモバイルの脅威を簡単に紹介します。

1) 安全でないWi-Fi

ほとんどのモバイル機器ユーザーは、近場にワイヤレスホットスポットがあればそれを利用すること場合が一般的です。しかし、喫茶店やホテル、空港などにある無料Wi-Fiネットワークは通常、利便性を優先しWi-Fiの通信が暗号化されていないなどセキュリティが確保されていない場合が多いです。

無料Wi-Fiホットスポットは、ネットワーク接続を確立するための認証を必要としないため、使い勝手が非常に良いネットワーク環境です。しかし、ハッカーによって簡単にデバイスにアクセスされてしまう可能性があります。

ハッカーはデバイスと接続ポイントの間に身を置くため、デバイスはホットスポットと直接話すのではなく、デバイスの情報をハッカーに送信してしまいます。これにより、ハッカーは、デバイスがインターネット上で送信するすべての情報（重要なメール、クレジットカード情報、ビジネス ネットワークへのセキュリティ認証情報など）にアクセスすることができます。

これらの情報を手に入れたハッカーは、デバイスの所有者になりすまして所有者が利用するシステムにアクセスすることができます。

Wi-Fiホットスポットのような安全ではない接続を介して会社のイントラネットに接続する場合、理想的には、常に仮想プライベートネットワーク（VPN）接続を使用するべきです。また、無料Wi-Fiを使用する際には、銀行やクレジットカード情報などの機密情報や個人利用のサービスには絶対にアクセスしないようすることです。

2) フィッシング攻撃

フィッシング攻撃の脅威は誰もが知っていますが、モバイルユーザーはリアルタイムでメールをチェックし、受信したメールを開いたり読んだりする傾向があるため、セキュリティリスクに気が回らないことがあります。このようなメールチェックは、電車や地下鉄などの移動中で気が散っているときに行われる傾向があります。

また、メールアプリは画面が小さいため、表示される情報量が少なく、ヘッダ情報バーを拡大しないと送信者の名前しか表示されないことがあります。そのため、不審なメールに気づかれにくくなっています。

モバイル端末でメールをチェックするとき、緊急性がない場合は、パソコンから返信できるようになるまで待った方が安全です。また、見慣れないメールのリンクは絶対にクリックしてはなりません。

3) ネットワークのスプーフィング

ネットワークのスプーフィングとは、無料Wi-Fiにアクセスする際の危険性に関係しています。一見正式なWi-Fiネットワークのようになりすまし、ハッカーが用意した偽のアクセスポイントに接続させる手法です。この手法はしばしばコーヒーショップや空港のようなトラフィックの多い場所で発見されています。

これらのアクセスポイントには、「CoffeeShop」や「Free Airport Wi-Fi」など、ユーザーが期待するような名前(ESSID)がついています。ユーザーは偽のアクセスポイントに接続した際、「アカウント」を作成し、これらの無料Wi-Fiサービスにアクセスするためのパスワードを入力するよう求められます。

多くのユーザーは複数のサービスで同じメールとパスワードの組み合わせを使用しているため、ハッカーはこの情報を利用してユーザーのメールや電子商取引などのセキュリティ保護された情報にアクセスすることができてしまいます。

どうしても無料Wi-Fiサービスに接続しなければならない場合は、十分注意しながら、必ず専用のパスワードを作成して使用するようにしましょう。

4) データの漏洩

思いかけずに発生したデータ漏洩は、モバイルアプリが原因であることが多く、多数の公式アプリストアにある無料アプリが原因であることがよくあります。これらのアプリはストアの記述通りに機能しますが、多くのアプリは個人データをリモートサーバーに送信します。ときにはこのデータが攻撃によってによって盗まれることもあります。

また、iOSやAndroidなどの一般的なモバイルオペレーティングシステムにネイティブ対応した配布コードを使用するモバイルマルウェアプログラムが原因でデータが漏洩することもあります。このような敵対的な企業署名入りのモバイルアプリは、企業ネットワーク上で重要なデータを移動させます。警告が出されることもありません。

モバイルアプリが適切に機能するために必要な権限のみを与え、必要以上の情報を要求してくるようなアプリの使用は避けるようにしてください。

5) 不適切なセッション処理

多くのアプリでは「トークン」を利用しており、ユーザーは自分のアイデンティティの再認証を強制されることなく、複数のアクションを実行することができます。ユーザーのパスワードと同様に、トークンはこれらのアプリによって生成され、デバイスを識別して検証されます。

セキュアなアプリは、アクセスを試みるたびに「セッション」と呼ばれる新しいトークンを生成するため、これによって機密性が保たれます。不適切なセッション処理は、脆弱性を突いた攻撃などによってアプリがセッショントークンを悪意のある攻撃者と共有し、正規のユーザーになりすますことで発生します。

これは、ユーザーがアプリやWebサイトから離れた後もセッションが開いたままになっている場合に起こることがあります。ユーザーがモバイルフォンやタブレットから会社のイントラネットサイトにログインし、セッション終了後にログアウトするのを忘れた場合、ログイン状態にしておいたことで、サイバー犯罪者はWebサイトや会社のネットワークに接続された他の部分を自由に探索することができます。

アプリやWebサイトの利用が終わったら、必ずログアウトしておくのが一番安全です。

モバイルセキュリティはサイバーセキュリティの重要な要素となる

最近まで、モバイルセキュリティはネットワークやコンピュータセキュリティと比較して優先順位が高いとは言えませんでした。しかし、日々の業務を遂行するためのモバイルデバイスへの依存度が急速に高まっていることから、モバイルセキュリティの重要性を理解し、企業の情報資産を保護するために対策をとる企業が増えてきています。

強力なサイバーセキュリティソリューションは、デスクトップやラップトップだけでなく、モバイルデバイスも含めて包括的に保護範囲を広げる必要があります。

ホワイトペーパー「モバイルのサイバー脅威を検知するためのユースケースTOP10」

モバイルデバイスに対するサイバー攻撃を検知し、優先順位を付け、対応するMobile Threat Defense（MTD：モバイル脅威対策）ソリューションの能力を評価するときに重要なことは、それが包括的なエンドポイント保護戦略とどのように統合されるかを理解することです。

本ホワイトペーパーでは、企業がMobile Threat Defense（MTD：モバイル脅威対策）を実施する上で必要なユースケースTOP10をまとめてあります。MTD製品の選定の際に活用ください。
https://www.cybereason.co.jp/product-documents/white-paper/4590/