部下が上司のパスワードでログインした件

上司のグループウェアへの不正アクセスと監査報告書の偽造で懲戒処分 2枚目の写真・画像 | ScanNetSecurity

記事の概要

宮城県登米市（とめ）の消防職員が、上司のグループウェアに不正アクセスしたことで処分を受けました。
どうやら、人事異動に関するメールの添付ファイルを業務用パソコンに保管し、他の職員に見せていたようです。

市のリリース

原因の分析

今回の事象は「職員が上司になりすまし、職員が本来参照できないはずの情報を参照」したことが問題です。

文書からの推測で、おそらくWEBメールの機能をもつグループウェアをIDとパスワード認証で運用していて、職員は上司のIDとパスワードでログインしたものと推測されます。

不正の3要件「機会」「動機」「正当化」のうち、「機会」、つまり「なぜ、職員は上司のIDでグループウェアに入ることができたのか」という点に注目して原因を分析します。

1. 職員がハッキングして、サーバまたはクライアントに格納されている認証情報を不正に入手して利用した

2. 上司のパスワードが推測可能であり、当たった

3. 上司がIDを入力しているところを職員が見た（たまたま or 計画的に）

4. 上司が自分のIDを教えて業務をさせていた

5. 組織的にIDの使い回しが常態化していた

どのような対策が有効か

今回の事象に対して、技術的にどのような対策が可能かについて考えてみます。なりすましの事象ですので、認証まわりになることが推測できます。

まず、1.のハッキングにより認証情報を不正に入手されることを防ぐためには、直接的にはBasic認証を避けること、パスワードをハッシュで保管しておくことがあげられます。
他にも、グループウェアやPCのマルウェア対策、OSなどの定期的なアップデート、グループウェアが内製の場合は脆弱性診断やペネとレーションテストの実施が有効的です。

2.の上司のパスワードが推測可能であり、それが当てられてしまうことを防ぐために、直接的にはパスワードの複雑さ要件をあげることや、一定回数以上間違えた場合にロックアウトする機能を設けることで、リスクを軽減することができます。
また、ログイン時にメールでリアルタイムに本人に通知することも有効です。

3.の上司がパスワードを入力しているところをたまたま見てしまい、不正にログインされることを防ぐためには、多要素認証にすることでパスワードだけわかっても利用できないようにすること効果的です。また、上述のログイン時の通知も有効になります。

問題は4. 5.のケース、つまりパスワードの使い回しが運用として行われている場合の対策です。上司が自分のiDを部下に使わせることを許容している以上、技術的に対策することが非常に難しくなります。

一つ思いつくのは、シングルサインオンを導入することです。1つのパスワードがバレると全部バレるという環境を作ることができるため、パスワードを部分的に貸し出して業務をさせることはできなくなります。またパスワードを複数覚える必要もなくなるのでメモ書きなどによる漏洩を防ぐことができるかもしれません。

つらつらと考えてみましたが、皆さんはいかがでしょうか。もしよろしければコメントいただけると嬉しいです。