遠隔サポートサービスに潜むセキュリティ・リスク

大手プロバイダー／電気通信事業者から無料体験モニター募集のメールが届いた。
サービス内容を見ると、オペレーター（アドバイザー）がPCにリモート接続して操作を補助するサービスのようである。（WindowsOSのリモートアシスタンスや、それに類するソフトを利用するものと思われるが詳細は確認していない）
メールには、サービス内容に関して以下の説明書き（抜粋）がある。
「◆パソコンやタブレット端末など、操作方法が覚えられなくても安心◆
専任のアドバイザーが、お客様に合わせて操作を代行。全くの初心者でも、安心してネットをご活用いただけます。
◆遠隔サポートでネット利用が カンタン・あんしん！◆
ネットショッピング、ネットバンキング、旅行サイトの予約・申込みなど、同じ画面を見ながらオペレーターが操作方法やトラブル解決方法をご説明します。」

一見、PCの操作に不慣れな人にとっては便利そうなサービスである。 しかし、ネットバンキングの操作までオペレーターがサポートするとなると話は別である。セキュリティ対策が大いに気になる。
セキュリティ・リスクですぐに気付くのは大きく2点である。
1つは、オペーレーターがネットバンキングの画面を見ることに起因するリスクである。 オペーレーターは、ユーザーの名前や口座番号、場合によってはIDやパスワードなども見ることが可能だと思われる。
オペレーターがその場でユーザーのPCを遠隔操作することは無いだろうが、後日別の場所でなりすまし等の内部犯行に繋がる可能性は否定できない。
今ひとつは、悪意を持った第3者による犯行を誘発するリスクである。
例えば、悪意を持った第3者がオペレーターをかたり、遠隔操作でユーザーのPCから情報を窃取したり不当な操作を行う等が考えられる。
これ以外にもセキュリティ・リスクはあろうが、一番対応が難しいのが、ベネッセ・コーポレーションや横浜銀行などで発生した 内部犯行による情報窃取やお金の不正引き出しではないだろうか。
特に今回モニターを募集している本サービスにおいて、オペレーターが委託先の従業員であるとしたら、先にあげた事例と同じ構造である。

今ひとつ気になるのは、インターネットバンキングにおける不正送金の事件が近年急増している点である。「情報セキュリティ白書2014」によれば、2013年に国内のインターネットバンキングを狙った不正送金の年間被害額は、過去最大の約14億600万円に上る。また、被害に遭った金融機関の数も過去最多の32行であった。これは個人のインターネットバンキングを契約している口座が増えていることとも無関係ではあるまい（個人のインターネットバンキングの口座は約6,600万口座）。（※）

このように本サービスにはいろいろと気になる点があったので、事業者にメールで問い合わせてみた。
「モニターに応募するか否かはさておき、本サービスにおける貴社のセキュリティ対策を教えて頂きたい」と。 2~3日後に事業者から回答が来たのだが、その内容はいささか木で鼻をくくったようなものであった。
曰く、「規約には、個人情報の取り扱いについての記載があり、サービス提供の過程で個人情報を知り得る可能性があることに同意いただくよう記載しております。
加えて、知り得た個人情報等のお取り扱いにつきましては、弊社が別に定めたプライバシーポリシーに基づき、取り扱う旨を併せて記載しております。 詳細につきましては、以下URLのページにてご確認ください」。
指定されたURLを見ても、遠隔サポート・ソフトがどのような情報を採取するかの記載はあるが、こちらの問い合わせの趣旨であるセキュリティ対策に関しては記載がない。ただ、企業としての一般的なプライバシー・ポリシーがあるだけである。
そのプライバシー・ポリシーに記載されているのは、個人情報の取り扱い規定などであり、オペレータなど関係者が知り得た情報に関しては守秘義務があるだけである。

遠隔サポートは、信頼できる人にヘルプを依頼することが前提だと考えられる。ヘルプを依頼する人はPCの操作に不慣れで、ITの知識も十分でないことが想定される。 従って、サービスを提供する側は、どのようなセキュリティリスクがあり、それに対してどう対策しているのかをユーザー側に示し、提供するサービスが信頼するに足ることを説明する責任があるように思うのだが。

（※）補足1
情報セキュリティ白書では、インターネットバンキングを狙った攻撃として主な手口3つが紹介されている。
①フィッシング：従来からある手口であるが依然として多い。2013年11月以降の被害状況に鑑み、フィッシング対策協議会は金融機関を語るフィッシングメールに対する緊急情報を公表した。「三菱東京UFJ銀行」「楽天銀行」、「ゆうちょ銀行」のいずれかを語り、「アカウントの確認依頼」または「ログイン画面の変更」を装ってフィッシングサイトに誘導するものである。
②情報窃取型のウィルス：利用者のパソコンに感染したウィルスが、正規のWebサイトを表示する直前に、本物に似せた暗証番号や乱数表の入力画面を表示するものである。Man-In-The-Browser(MITB)攻撃と呼ばれる。
③ワンタイムパスワードの窃取
2013年度は新たに、Webメールのログイン情報を窃取して悪用する手口が出現した。ワンタイムパスワードをWebメールで受け取る設定にしていると、この手口に遭うリスクがある。攻撃者は、パソコンにウィルスを送り込んで、Webメールのログイン情報を窃取、これを使って本人になりすまし、ワンタイムパスワードを盗み取るものである。
インターネットバンキングのログイン時にワンタイムパスワードを使用する場合は、ワンタイムパスワードをWebメール以外（キャリアメールなど）で受け取ることが推奨されている。