ハッカーは、私たちのサイバー行動に潜む弱点を悪用して、コンピューターやネットワークに侵入します。多くの攻撃では、単純なフィッシングの手口が使われます。ハッカーが信頼できる送信元を装ったメールを送り、受信者に一見無害なリンクや添付ファイルをクリックさせるのです。クリックするとマルウェアが起動し、会社のネットワークへのアクセスや、他のコンピューターやサーバーへの攻撃に使う仮想ゾンビとしての利用など、悪意ある行為に用いられるバックドアが開かれます。
こうした攻撃から安全な人はいません。最近、セキュリティ上の欠陥を悪用されたAppleやYahooのような、テクノロジーの最前線に立つ企業でさえ例外ではありません。高度な国家ネットワークも決して安全とは言えません。たとえばイスラエルのネットワークは、 フィッシング攻撃 によって侵害されました。イスラエルの国内安全保障機関であるシンベトからのメールを装い、偽のPDFを添付したメールによって、ハッカーは同国の防衛ネットワークへのリモートアクセスを得たのです。
なぜ私たちがハッカーの手口に引っかかるのかを明らかにするため、私は自ら攻撃を試し、どのような攻撃が誰に対して成功するのかを調べています。研究では、さまざまな種類の不審なメール、ソーシャルメディア上の友達申請、偽装ウェブサイトへのリンクを研究対象者に送り、実際の攻撃を模擬します。その後、直接的・認知的・心理的な測定方法に加え、目立たない行動測定も用いて、なぜ人々がこうした攻撃の被害に遭うのかを理解します。
数多くのシミュレーションから明らかなのは、見た目には単純で、さほど巧妙ではない攻撃が、驚くほど高い被害率をもたらすことです。その一例として、フィッシングメールに大学のロゴといくつかのブランド要素を加えただけで、研究対象者の 約70％ が攻撃の餌食になりました。最終的に、私の研究の目標は、こうしたサイバー攻撃が日常生活で起きたときに、一般の人々がどうすれば最も効果的に身を守れるかを明らかにすることです。
考えずにクリックする
多くの人がこうした欺瞞に引っかかるのは、オンライン上の行動に伴うリスクを誤解しているからです。私はこれを「サイバーリスクに関する認識」と呼んでいますが、人々のリスク認識は、たいていの場合不正確だと分かりました。たとえば、PDF文書を編集できないことを、その文書自体の安全性と誤って結び付け、添付ファイルをすぐに開く人がいます。同様の誤った認識から、モバイル端末や特定のオペレーティングシステムでウェブページや添付ファイルを不用意に開いてしまうこともあります。
こうした認識に加わるのが、メールやソーシャルメディアの習慣です。習慣とは、繰り返し行われる予測可能な行動を脳が自動化する仕組みです。メールやソーシャルメディアのフィード、メッセージを頻繁に確認することは、やがて日課になります。人々は、いつ、そして時にはなぜそうした行動をしているのかに気づかなくなります。その結果、いつもの流れに乗っていると、あまり考えずにリンクをクリックしたり、添付ファイルを開いたりします。実際、 Facebookの習慣 のうち、ニュースフィードを繰り返し確認すること、頻繁に近況を投稿すること、多数のFacebook上の友達を維持することなどは、見知らぬ人からの友達申請を承認するかどうか、またその相手に個人情報を明かすかどうかを予測する最大の要因であることが分かりました。
こうした習慣的な反応は、私たちの多くが使う スマートフォンやタブレット によってさらに促されます。これらの端末は、ウィジェット、アプリ、プッシュ通知を通じて、メッセージに素早く反射的に反応するよう促します。スマートフォンの画面サイズやアプリの圧縮されたレイアウトによって、詳細情報の表示量が減るだけでなく、私たちの多くは移動中にも端末を使います。その際の注意散漫さが、欺瞞的なメールを見抜く能力をさらに損ないます。
私の考えでは、こうした自動化されたサイバー習慣と反射的な反応こそが、不審なメールに警戒するよう人々を訓練する現在の方法が、概して効果を上げていない理由です。サイバー攻撃の成功率を下げる鍵は、人々のメディア習慣を変えることです。そしてそこには、私たち一人ひとりが力になれる機会もあります。
習慣を生かしてサイバー犯罪に立ち向かう
新たな研究によると、習慣を改める最善の方法は、別の習慣に置き換えることです。作家のチャールズ・デュヒッグはこれを 「要となる習慣」と呼んでいます。既存のパターンに代わる、簡単で前向きな行動です。たとえば、減量を望む人には、運動をする、砂糖の摂取量を減らす、食品ラベルを読む、カロリーを数えるといったことが勧められます。こうした難しいことをいくつも継続して行うのは大変で、尻込みして始めることすらできない人も少なくありません。代わりに、毎日800メートル歩くといった、達成可能な一つの重要な行動に集中すると、より大きな成果を得られる人が多くいます。この簡単な目標を繰り返し達成することは心地よく、自信を育み、さらに認知的な評価を促します。こうした過程は、急速に積み重なって大きな変化へとつながります。
同じ原則を応用し、不審なメールを報告することを要となる習慣にすれば、サイバーセキュリティを向上させられます。実際、多くの人がそのようなメールを受け取ります。うっかり引っかかる人もいれば、疑わしいと気づいて引っかからない人もいます。疑念を抱いた人がもっと多く報告すれば、侵害の多くを拡大前に発見し、無力化できることは明らかです。疑わしいものをクリックしたい衝動を、疑わしいメールを報告するという新たな習慣に変えられるのです。
全国規模の一元的な受付窓口が必要です。たとえば、緊急通報システムの911のようなメールアドレスや電話番号を設け、サイバー脅威を疑う人なら誰でも、迅速かつ簡単に報告できるようにします。情報を地域ごとに集約し、一元的に追跡することができます。これは、保健省が公衆衛生や感染症の流行を追跡する方法と同じです。
もちろん、不審なサイバー侵害を報告することに満足感を持てるようにし、人々が自分も関与していると感じ、見返りを得られるようにする必要もあります。サイバー脅威に対処する多くの機関が現在行っているようにメールを集めるだけでなく、提出された情報を一元的なサイバーセキュリティチームが審査し、脅威に対処するとともに、報告によって攻撃を阻止できた経緯を公表することもできます。サイバー侵入の報告は、簡単で楽しく、誰もができることになり得ます。そしてさらに重要なのは、疑念を習慣的に報告するという行為そのものが、やがて私たち全員のサイバーセキュリティ意識を高める可能性があることです。
この記事は、 サイバーセキュリティに関する連載の一部です。今後数週間にわたり、さらに記事を掲載します。
この記事は当初、 The Conversationに掲載されました。 元の記事をお読みください。掲載によって、世界経済フォーラムが見解を支持することを意味するものではありません。
Agendaの情報を引き続きお読みいただくには、 週刊ニュースレターにご登録ください。
著者：アルン・ヴィシュワナートは、バッファロー大学およびニューヨーク州立大学のコミュニケーション学准教授です。
画像：ノートパソコンを持つ男性に二進コードが投影された様子を描いたイラスト。REUTERS/Kacper Pempel。
