メールに添付して仕事の書類を送ってくるのは良いのですが、実行形式で送ってくる会社があるのです。 その会社からのメールを見るたびに、馬鹿じゃなかろうか？と思わず叫んでしまいます(心の中で・笑) 社名をはっきり書きたいくらいですが、止めておきますが。 それなりに社会的に知名度・信用度のある会社だったりします。 漢字の３が付くような会社の系列の会社とかですね。 そんな程度の意識だから、検査結果の改ざんとか平気で行われるのでしょう。
添付ファイルは「hogehoge.ex_」と言う名前になっています。 『拡張子「ex_」を「exe」に変更して実行(解凍)するように』と書いてあります。 自己解凍形式で圧縮したのだろうとは思いますが。 拡張子をわざわざ変えてあるのは、実行形式(拡張子exe)だとメーラーで削除されてしまうのが普通になったからなのでしょうね。 つまり、セキュリティ的に実行形式のファイルは送ってはいけない、というのが常識だからなのだと思いますが。。。
わざわざ、クリプト便という有料の暗号化ファイル転送システムを利用して送ってきているのですが。それで不審な実行形式のファイルを送ってきてしまったら意味がないですよね。 クリプト便のHPを見ると、ウイルスチェックを行っているという事ですが・・・ ファイルは圧縮せずに送信し、サーバー側でウイルスチェックと暗号化圧縮を行って相手に送ってくれる、という事であれば良いですが。 ローカルで暗号化したものを送られたら、サーバー側でその内容をチェックできないはずですよね。 仮にサーバー側で圧縮されていたとしたら、実行形式で圧縮して送るというのはちょっとアリエナイ話ですから、送信前にパスワード付与して圧縮しているのだと思います。
先日、ホワイトリスト型のセキュリティソフトが今後は主流になると書きましたが。 これは、何らかの悪さをするウイルスから、悪さを実行する権限を奪ってしまうことで、ウイルスに活動(実行)させない、と言う方式ですね。 （※基本的にすべての実行形式のファイルの実行権限を停止、許可リストに載っている安全だと確認されているソフトだけは改めて許可を出す方式。従来のアンチウイルスソフトは基本的に全て許可で、ウイルスのリストに載っているソフトだけ排除する＝ブラックリスト方式。） 当然、送られてきたファイルの拡張子を変更して実行しようとしても、ホワイトリスト式のセキュリティソフトが動いていれば、実行できません。 （ブラックリスト型のセキュリティソフトでもリアルタイム監視を行っているセキュリティソフトであれば警告が出るか、あるいは、実行した瞬間にウイルスチェックを行って排除してくれるかも知れません。）
拡張子をexeに修正しても、ホワイトリスト型のセキュリティソフトが作動していれば、解凍を実行できません。 しかも、解凍にはパスワードが必要なわけです。そのため、セキュリティソフトで開く前に内容の監査もできません。 これが、絶対信頼できる相手からのファイルなら良いですが、迷惑メールやセキュリティ意識の怪しい相手からのファイルだったら・・・その実行形式ファイルはウイルスかも知れないわけで。 危険かもしれない謎の実行形式ファイル、しかもパスワードを入れて実行してみないと中身が見られない＝アンチウイルスソフトによるチェックも行えない、と言う状態。 実行許可を出して解凍してみて、ウイルスでした、実行されちゃいました、では遅いですから、怖くて実行できません(笑) 実行できませんが、実行しないと解凍できませんし、仕事の資料であれば解凍せざるを得ません。。。 ここで、ホワイトリスト形式の問題点も浮き彫りになりますね。そう「実行させないから絶対安全」と言っても、 使用者が安全でないファイルを例外指定して強制的に実行させてしまう事が可能 なわけです。 中身がウイルスであっても、使用者がセキュリティソフトを解除してしまわれたら、どんな強固なセキュリティソフトも意味がなくなってしまいますね。 ソフトウェアの行動を監視しているようなリアルタイム監視機能があるセキュリティソフトならばそれでもウイルスの行動を停止してくれるかも知れませんが、完全にホワイトリスト型オンリーのセキュリティだったら、ウイルスは実行されてしまいますよね。。。 自分がウイルス製作者だったら、パスワードを入れて解凍した瞬間に実行されるようなウイルスが作れないか考えますね（素人なのでそんな事ができるのかどうか知りませんが） なににせよ、現在のセキュリティの常識としては、実行形式のファイルを相手に送りつけるなどは、絶対やってはいけないマナー違反のはずなのですが・・・、それを平気で行っている人もまだまだたくさん居る、という状況。。。
唯一、この状況で有効なセキュリティ対策として思いつくのは、「サンドボックス」でしょうか。 仮想PCを実行して、その中で危険かも知れない実行形式ファイルを実行してみるような形式ですね。 もしウイルスであることが判明したら、仮想PCごと葬ってしまえばよいわけですから。 しかし、近年は、サンドボックスはあまり流行らないようで、あまり選択肢はなく、事実上、「Sandboxie」の一択状態でしょうか。(試用期間１ヶ月間は無料) 以前使っていた「COMOCO INTERNET SECURITY」にはサンドボックス機能がありましたが。 COMODOはアメリカのセキュリティ会社で、ファイアーウォール・サンドボックスやセキュアＤＮＳの搭載、ヒューリスティック分析機能までも搭載していて非常に高機能ですが、商用利用でも無料版の利用に特に制約を設けいない素晴らしいソフトなのですが・・・英語版のみなのが地味にストレスになって。 （サンドボックスにより仕事上のWEBサービスが利用できなない事がよくあるのですが、英語なのでメッセージが理解してもらえない・・・。） 有志による日本語化も行われているのですが、最新版になって対応が追いつかず、日本語化できなくなってしまいまして。英語が読めない人にはお薦めできなくなってしまいまったのですが、サンドボックスは便利だったなぁ・・・
その会社からのメールは、複数の人間から同じような方式で送られてきますので、会社としてそうしなさいというルールでもあるのでしょうね、きっと。。。 末端の社員のレベルでおかしいと思っても、異を唱えられない状況があるのかも知れません。。。 セキュリティに関しては、そんな話ばかりで。 「そういうやり方は危険だからダメですよ」と言ってみても 「ダ～イジョウブだよぉ(笑)」 （ほんとにそう言われました・笑） 「何を堅い事いってるんだ？」 「大丈夫だよ、神経質過ぎるんじゃね？」 などと言われて相手にされない事も多く。 相手が取引先だったり、上司などの権限がある人物だったりすると、もうそれ以上言えませんからね。（大体、部長以上の権限がある立場の人ってのは結構年齢の高めでパソコンには疎い人が多いわけで。。。） 結局、一応警告はした上で、あとは勝手にさせるしかない事も多いと思います。。。。 一度被害にあってみないと分からないのでしょうね。 現実問題として、送信側でも経由するサーバーでも多重にウイルスチェックが行われるようになってきていますし、Windowsも標準でサンドボックスのようなセキュリティ機能を実装するようになりました(Windows Defender)ので、受け側のセキュリティがザルでも、そうそう被害に合うこともなかったりしますが。 しかし、仕掛ける側も相当に悪知恵を絞ってきますから・・・使用者自らがセキュリティ機能を解除させるような罠をしかけてこられるので危険です。 （そう言えば先日大問題になったビットコイン８００億円流出なども、実は某国のハッキングによるものだったと言う噂もありますね。。。） もし万が一、被害にあった場合に、責任を擦り付けられないように、一応の警告・指導したという記録だけはきちんと残しておいて、従わなかったのは当人の責任というこで、自分の身を守るしかない。なんだか馬鹿げた状態。。。 ま、暗号化してメールに添付しても、同じメール（や次のメール）に解凍パスワードを書いて送ってしまうような事が普通に行われていますので、もはや何をか言わんや。 いっそ、ランサムウェアとか、もっと凶悪なウイルスでも日本でも大流行してくれると、セキュリティ意識も改善されていくのではないかと思ったり(笑)
問題なのは、先端技術（というほど難しい話ではないですが）についていけない年寄りほど、強い権限を持つ立場だったりするということ。 決定権を持つ人間が、何が問題か理解できないわけですから、対策もトンチンカンになって行くのはどうしようもないですよね。。。 特にパソコン・インターネットのセキュリティに関しては、マヌケな対策が多いです。 例えるならば、「自動車を使っていて交通事故が起きた。」⇒「自動車は使用禁止だ！」みたいな？ いや、間違いではないのですけどね、自動車の使用を全面禁止すれば、交通事故は減るでしょう(笑) 例えば、「スピード違反が事故の原因だった」となれば、違反の厳罰化など、ルールを守らせるような対策を考えましょうと言うのが普通だと思います。自動車に欠陥があった事が原因であったら、欠陥を見逃しさないよう検査体制の強化などの対策を、というのならば、まぁ仕方がないかな、と思いますが。 それを飛び越して、「自動車使用禁止！」みたいな対策は、どうなの・・・？(-.-;)
何年か前にファイル交換ソフトで情報流出が大問題になった時期がありましたよね。 あの時、大手企業の上層部が決定した対策が、「職場に私物パソコンの持ち込み禁止」「業務用パソコンの自宅への持ち帰り禁止」 「はい？？？」と思いましたね(笑) そもそも、「私物のパソコンを持ち込まないと仕事ができない状況（会社から全員にパソコンが支給されていなかった）」とか「仕事を家に持ち帰らないと仕事が終わらない状況」があったわけで。そんなブラックな状況で働かせておいて、私物の使用がケシカラン！！って(笑) それでも、家に持ち帰って仕事ができれば、家庭の崩壊も多少は食い止められ、肉体的・精神的に楽な部分もあったはずですが・・・ かくして、仕事が終わらない分は、家に持ち帰れないので徹夜してでも職場内に留まって仕事するしかなくなり、家庭崩壊が進んだ企業が増えたとか増えないとか・・・ そもそも、ファイル交換ソフトでウイルスに感染して情報漏洩した者たちというのは、そのほとんどが「セキュリティソフトを入れていなかった」者たちだったわけで。 ノーガード戦法で、怪しげなファイルをバンバン実行したりしてたわけです。 まずは、セキュリティソフトが入ってない状態のパソコンの使用禁止、から始めるべきなのでは・・・？ それがあって初めて、「職場に私物パソコンの持ち込み禁止」「業務用パソコンの自宅への持ち帰り禁止」も意味が出てくるのではないかと思いますが。 あの当時、まだセキュリティソフトはそれほど普及しておらず、無料のセキュリティソフトも有りましたが、使っているのはマニアックな人間だけで、しかも無料なのは個人利用に限るというのが普通でした。これは想像なのですが、業務で使用する全てのパソコンに、会社の予算でセキュリティソフトを入れるというのは、金がかかるから嫌だった、というのが企業上層部の本音だったんじゃ？と邪推(笑) あまりうるさいことを言うのなら、社員や下請けに無理な要求をする前に、大手企業は（あるいは政府主導で）無料のセキュリティソフトを開発・配布するなどしたらどうか？と提案したくなりますが。 そのすぐ後、マイクロソフトもWindowsにセキュリティソフトを標準搭載するようになり。セキュリティソフトも入ってるのが当たり前の状況に変わっていきましたね。 現状で、業務に使われているパソコンにセキュリティソフトがどれくらい稼働しているのか、私には分かりませんが・・・少なくとも中堅～大手企業ならばきちんと予算を組んで全てのパソコンのセキュリティ管理を行っていると思いたいところですが・・・
しかし、話は戻りますが、上層部の経営陣や幹部の爺様方が、なにせパソコンを使えない、理解できない世代なので・・・ 国の将来を決定していく国会議員だって、パソコンなんか触ったことがないと言う人がまだまだ多いわけですよね。 だから、国会質疑で 「某国の船がどこに居るかなどGoogleマップを見れば分かる」 などと言ってしまう議員がいたりするわけで・・・(-.-;)本気デ言ッテルノカ？ ウチの会社でも、いくら言っても、「失敗コピー用紙をメモ用紙に使うな」と言う事が理解されません。 「裏面白紙だしもったいないから」「ただのメモだから大丈夫ダイジョウブ」 いや、その表面に書かれている内容は、業務上の機密事項なんですが・・・？ 本来ならシュレッダーに掛けるか溶解するなどしなければいけないものなんですが・・・（取引先からもそうするように厳命されているわけですが） 仕事の打ち合わせをしている時に全然関係ない物件の資料が紛れ込んでいて、「？？？」と思っていると 「あ、それ関係ない、メモ用紙に使っただけだから！裏側見て！」 ・・・┐(´ー｀)┌
コメント