2020年デジタル監視の脅威

2020年1月15日

非常に高度なスパイウェア攻撃からスマートフォンを用いた大量フィッシングや顔認識技術の増大まで、人権擁護活動家に対する監視の脅威の範囲は増えている。

活動家を保護しようとするセキュリティチームにとって、攻撃者は保護を目的とした開発に迅速に適応するので、いたちごっことなっている。

「サイバー攻撃者は、人びとが（メッセージングアプリ）シグナルの使用に切り替えていると見ると、シグナルをターゲットにしようとします。人びとがVPN〔仮想的専用回線〕技術への変更を開始すると、VPN技術のブロックが開始されます。人びとがTor〔匿名化規格〕ブラウザを使用している場合、彼らはTorトラフィックをターゲットにします」と、アムネスティ・テックの戦術技術者であるラミー・ラオーフは話した。

ラオーフは、2020年の主な焦点の1つは、2019年に注目を集めたスマートフォンのカスタマイズされた標的設定に取り組むことだと話す。昨年10月、フェイスブックが所有するメッセージアプリ・ワッツアップは、千以上のユーザーへのスパイウェア攻撃で、監視会社NSOグループに対する注目を集める裁判を開始した。

今週悪意のあるデジタル攻撃が注目を浴びるだろう。アムネスティと他の人権団体が起こした訴訟がテルアビブで裁判となるのである。活動家たちは、イスラエル国防省にNSOの輸出許可を取り消すことを求めている。NSOの製品は、世界中で活動家を標的として使用されている。

より高度な技術は、現在もはや機器を感染させるためにターゲットが能動的にリンクをクリックする必要がない、とアムネスティ・テックのセキュリティ調査員であるエティエンヌ・メイニエは説明した。モロッコのある活動家へのNSOスパイウェアを使用した攻撃は、スパイウェアで電話機を感染させるために、極秘に活動家のウェブ閲覧を傍受した。 「リンクをクリックするのを待つ代わりに、ウェブブラウザのトラフィックを乗っ取り、スパイウェアを密かにインストールしようとする悪意のあるウェブサイトにリダイレクトします」とメイニエは話す。　

十分に保護された電話を標的として成功することは、ますます一般的になり、セキュリティチームは、いわゆる「ゼロデイ」脆弱性で、急成長している産業からのさらなるプレッシャーにさらされている。悪名高いハッカーが売るためにソフトウェアの未知の脆弱性を探そうとするのである。

2019年5月、NSOグループは、ワッツアップのゼロデイ脆弱性を悪用し、スパイウェアで世界中の100人以上の人権活動家を標的に使用した。

フィッシング攻撃

アムネスティ・テックはハイテクでない攻撃とも戦おうとしている。ハイテクでなくても効果的で、数分以内に多数の被害者を攻撃することができるのである。

SMS経由またはスマートフォンのアプリケーション内での大量フィッシングは、より一般的でしばしば成功する低コストの方法である。

フィッシングは、パスワードなどの個人情報を提供させるために人びとをだますように見える。攻撃は、パスワード・リセット要求やリンクのフォームへしばしば行われる。

送信者として携帯電話会社のオペレーターやソーシャルメディア会社を模倣している。また、攻撃者が友人を装ったり被害者に連絡したり、悪意のあるコードが既に埋め込まれたアプリへのリンクを共有する場合もある。

メイニエは、このような攻撃はしばしばある種の「ソーシャル・エンジニアリング」を使用すると付け加えた。リンクをクリックする、あるいは文書を開くようユーザーに圧力をかける、たとえば標的となる人物と一緒に活動したいと主張する信頼できる団体を代表していると偽るなどである。　

「非常に安価で非常に効率的です。そしてこのタイプの攻撃は非常に簡単に減らすことができます」とラオーフは話した。携帯電話にますます頼るようになるために、2020年は世界的に人権擁護活動家の脅威となる、フィッシングの新たな波を予想している。

コミュニケーションを安全に保つ方法

アムネスティ・テックの戦術技術者ラミー・ラオーフからの簡単なヒント

iphoneまたはAndroidのための電話の基本：同意なしのアクセスからあなたの個人情報に守るために、そして攻撃の危険性を最小限に抑えるために、公式アプリストアからのみアプリをダウンロードすること。最新のセキュリティパッチがあると保証するために、システムとアプリを頻繁に更新すること。電話にアクセスできなくなった場合、「アカウント復旧」を有効にすること。最後に、8桁の番号や英数字コードなど、容易には推測されない画面ロックを選択すること。
パスワード管理：パスワード・マネージャーを使用すると、パスワードを忘れる心配がなく、同じパスワードの使用を避けることができる。強力なパスワードを作成し安全に保存するツールである。さまざまなサイトやサービスで多くの異なるパスワードを使用できる。 KeePassXC、1PasswordまたはLastpassなど、さまざまなパスワード・マネージャーがある。パスワード・マネージャー・データベースのバックアップを作ることを忘れずに。

メッセージングアプリ：私たちがメッセージングアプリについて人権擁護活動家にアドバイスする場合、ポリシー（利用規約、プライバシー契約など）、技術（オープンソースの場合、レビュー可能、監査済み、セキュリティ）、最後に状況（アプリがニーズや脅威モデルに適合する機能を提供する場合）。 一般的に、SignalとWireは強力なプライバシー機能を持つ2つのアプリである。Signalは登録にはSIMカードが必要である。Wireには、ユーザー名/Eメールでサインアップできる。

公衆Wi-FiとVPNの使用：カフェや空港でWi-Fiに接続するとき、あなたのインターネット活動はそのネットワークを経由して送られる。攻撃者がネットワーク上にいる場合、彼らはあなたの個人データを捕らえることが可能である。あなたの機器でVPNアプリを使用することで、公衆接続にアクセスする際にあなたのオンライン活動アクティビティを保護する。あなたのインターネット活動を同じネットワーク上の他人に見られないようにしている。オプションを調べたい場合は、NordVPNとTunnelBearを試してください。