サイバーセキュリティ
基礎論
― IT社会を生き抜くために ―
プライバシ保護と匿名性
2
プライバシ保護と匿名性
 「ネットの匿名性」とは何か
 インターネットでのサービス提供の仕組み
 その仕組み上、技術的には発信者を特定可能である
こと
 ネット上でも匿名だからと思い込んで法をおかすべ
きでないこと
 本物だと思っている相手・サイトが本物でない
かもしれない可能性
 「なりすまし」と「乗っ取り」について
 フィッシングについて
3
情報サービスにおける
「匿名性」
4
インターネット上のサービス
 ネット上では色々なサービスが提供されている
 利用者が情報を受け取るサービス
 様々な企業や組織の公式サイト
 ニュースサイト
 情報サイト・検索サイト…
 利用者が情報を発信・交換するサービス
 電子メール
 電子掲示板（BBS）
 ブログ・チャット
 質問サイト…
5
ネットを利用した会話・交流
 電子メール
 PC、携帯電話、スマホ
 Gmail、Yahoo!メール ...
 電子掲示板（BBS）
 SNS（ソーシャルネットワークサービス）
 Facebook、Twitter、mixi ...
 チャット・通話
 LINE、Skype ...
6
情報サービスの「匿名性」
 自分の「実名」を隠している状態
 プライバシー保護と表裏一体
 私生活や趣味嗜好など個人的な事を秘密にできる
 自分の意思で開示もできる
 メッセージや書き込みを見ても、本当はど
この誰が書いているのかわからない
 書き込み自体で自己紹介していれば別
 でもその自己紹介だって本当かどうか……
7
例：電子掲示板
タイトル: XXXXX について
1 名前: Aさん 投稿日: 2013/10/26 21:44:29
XXXXX について質問があります。
……………
Aさん
Bさん
2 名前: Bさん 投稿日: 2013/10/27 10:22:48
YYYYY の状況についてもう少し詳しく説明して。
3 名前: Aさん 投稿日: 2013/10/27 14:10:05
YYYYY については……
4 名前: Cさん 投稿日: 2013/10/27 18:07:22
それだったらここに書いてあるよ。
http://.....
Cさん
書き込みを見ただけでは、本当にこ
うか確かめようがない
8
例：電子掲示板
タイトル: XXXXX について
1 名前: Aさん 投稿日: 2013/10/26 21:44:29
XXXXX について質問があります。
……………
Aさん
Bさん
2 名前: Bさん 投稿日: 2013/10/27 10:22:48
YYYYY の状況についてもう少し詳しく説明して。
3 名前: Aさん 投稿日: 2013/10/27 14:10:05
YYYYY については……
4 名前: Cさん 投稿日: 2013/10/27 18:07:22
それだったらここに書いてあるよ。
http://.....
5 名前: Aさん 投稿日: 2013/10/27 23:15:10
そんなことは聞いてないんだよ。
???
6 名前: Aさん 投稿日: 2013/10/28 08:10:15
5 のAさんは偽物です！
Cさん
9
ネットと「本人」
 多くの交流サイト等では本人特定可能な情報は公開
されない
 サービス利用登録に必要な場合はある
 個人はユーザー名、ニックネーム、ハンドル等で区
別
 書き込みや行動に併記
 登録制の場合「プロフィール」ページがあったりもする
 しかし本当の事を書いているかどうかは不明
 メールアドレスだけで登録できるサイトも多い
 facebookのような原則実名サイトもある
 しかし偽名で登録している人はいる
10
「匿名性」の悪用
 個人情報の登録が不要なサービスでは何を
やっても匿名だから本人特定される心配は
ない（ように思える）
 他人のふりをして掲示板に書き込んでみたら引っ
かかる人がいて面白かった
 Twitterで有名人のふりをしてみよう
 などなど……
11
匿名性の幻
 自分の個人情報の登録が不要なサービスで
は何をやっても匿名だから本人特定される
心配はない
 …というのは幻想
 実際にはほとんどの場合特定は可能
 ただし手間と時間はかかる
 誰にでも可能なわけでもない（権力が必要）
12
ネットワークサービスの仕組み
 用語
 クライアント
 サービスを受ける側の端末（パソコンやスマホな
ど）、もしくはソフトウェア・アプリを指す
 サーバ
 サービスを提供する側のシステム、もしくはそこで
動いているソフトウェアを指す
 ほとんどのネットワークサービスはクライ
アントがサーバと通信することで実現され
る
13
サーバとクライアント
インター
ネット
GET / HTTP/1.1
クライアント
HTTP/1.1 200 OK
Date: ...
サーバ
www.kyushu-u.ac.jp
（実際は１ページ出すだけで
も何十回もメッセージをやり
とりする）
14
インターネット
 「インターネット・プロトコル」という取
り決めにもとづいて通信するコンピュータ
同士のネットワーク
 みなさんのパソコンやスマホなども全て「イン
ターネット・プロトコル」を使って通信している
 取り決めを破ると通信できない
 仕組み上決まっている事を元にして通信相手が追
跡可能
15
IPアドレス
 インターネットに接続する全ての機械には「IP
アドレス」という番号がついている
 0～255までの数字が4つ
 「133.5.1.1」など
 通信相手には通信元のIPアドレスがわかる
 サービス側は通常接続日時とともに記録
 パソコンやスマホは自動で割り振られる場合が多い
 少なくとも通信している間は変わらない
 アドレスを割り振った管理者にはどの機械に何を割り
振ったかわかる
16
自宅から（一例）
 サーバ管理者にはクライアントのIPアドレスがわかる
 そのアドレスがどこのプロバイダの物か調べられる
 プロバイダはどの顧客にどのアドレスを割り当てた
か把握している
 顧客情報と突き合わせればどこの誰かわかる
 誰でもこれらの情報を見られるわけではない
 捜査令状や裁判所の命令がある場合など
 通常はプライバシーや個人情報保護の観点から非公開
17
九大だと？
 九大自体がプロバイダ
 部局にIPアドレスを割り振って接続を提供
 kitenet や edunet の利用には学生IDやSSOKIDが必要
 いつどのIDにどの番号を振ったかは記録済
 外部から苦情や通報があれば調査可能
 実際に著作権侵害や迷惑行為での事例あり
18
追跡は完全ではない
 IPアドレスの付いている端末はわかるが、それ
をその時誰が使っていたかはわからないことも
 IPの仕組みがわかっていると逆に回避可能
 例：「遠隔操作ウイルス」事件
 注意深く実践すると専門家も騙される
 複数のコンピュータを経由して送信元をわかりにく
くするなど
 そもそも一般の人には通常開示されない情報
 IPアドレス「だけ」がわかっても住所はわからない
19
その他の情報からの特定
 アップロードした写真
 GPS等で取得した位置情報が埋め込まれている場
合がある
 背景などから場所を特定するのが趣味の人達
 画像検索サービスの発達
 顔認識機能の発達
 書き込み履歴の検索
 過去の書き込みから周辺情報を集める
20
現実でもネットでも同じ
 現実社会でもネット上でも、迷惑行為や違法行
為はしないこと
 犯罪行為やそれに近いことを書かない
 犯罪行為は警察が捜査するのですぐ捕まる
 「炎上」すると特定しようとする人たちが寄ってくる
 書き込みの内容と公開範囲を意識
 仲間内のつもりでも気をつける
 「自分たちのことなど人は見ていない」は間違い
 住所や電話番号など個人を特定できる情報も書かない
21
「なりすまし」と
「乗っ取り」
22
「なりすまし」
 掲示板やSNSに有名人や有名組織の名前での
書き込みを見た！
 それが本当に本物による物か、疑ったこと
ありますか？
23
Twitterでの例
 数年前九州大学公式アカウントを自称する
IDが出現
 休講情報等をツイート（現在は消滅している）
 芸能人や著名な企業等の偽ID
 本物を連想させるID名やプロフィールを利用
 ボット（その人の過去の発言を自動で繰り返すア
カウント）の場合も
24
対策等
 他の公式情報（ホームページ等）に掲載されて
いるか確認
 フォロワーが多くても偽物ということもある
 単に騙された人が多かった、ということ
 Twitterでは「認証済みアカウント」は信頼でき
る（はず）
 Twitterが認めた人しか取得できない
 自分がなりすまされていた場合は運営に通報
25
例：九大公式アカウント
26
「乗っ取り」
 アカウントは「ID」と「パスワード」で保護
 IDとパスワードを知っている人がそのアカウントを
利用できる
 もしその情報が（悪意のある）他人に漏れたら？
 メールアカウント乗っ取りによる詐欺
 「旅行先で盗難に遭い困っているので送金して」
 LINEのID乗っ取りによる詐欺
 友人を装ってwebmoney等の金券を購入させ、
チャージ用のコードを写真で送らせる
27
被害者が加害者に
 自分のIDが乗っ取られ、なりすまされる
↓
 自分を信頼している友人・家族が被害に遭
う
 「オレオレ詐欺」「母さん助けて詐欺」と
同根
 自分は重要な情報を持っていない、と思っていて
も人間関係自体が悪用できる
28
乗っ取り対策
 自分が乗っ取られないよう
 ユーザ名とパスワードを適切に保護する（次回）
 ウイルス対策する（次回）
 パソコンやスマホを知らない人に貸さない
 知り合いが乗っ取られた時騙されないよう
 緊急と言われてもあわてない
 他の手段で本人に連絡を取る
 共通の他の知人に確認してみる
29
フィッシング
 「Phishing」と書く
 「Fishing」（釣り）をもじったもの
 ウェブと電子メールを利用した詐欺
 ウェブサイトの「なりすまし」「乗っ取り」
 悪意のある偽サイトに誘導するメールで被害者
を「釣る」
 メール中のリンクにアクセスさせ、ユーザ名とパス
ワードを入力させるパターンが多い
 「すぐ手続きしないと利用不能になる」等と煽る
30
フィッシングメールの例
Subject: 本人認証サービス
From: 三菱東京ＵＦＪ銀行 <[email protected]>
To: ＊＊＊＊＊＊＊＊＊＊＊＊＊
Date: Tue, 21 Oct 2014 03:09:55 +0800
X-Mailer: Microsoft Outlook Express 5.00.2919.6700
こんにちは！
2014年「三菱東京UFJ銀行」のシステムが安全性の更新がされたため、お
客様はアカウントが凍結?休眠されないように、直ちにアカウントをご認証
http://bk.mufg.jp.frn.cn.com/ibg/dfw/APLIN/logini
ください。
b/login.htm?_TRANID=AA000_001
以下のページより登録を続けてください。
https://entry11.bk.mufg.jp/ibg/dfw/APLIN/loginib/login?_TRANID=AA0
00_001
――Copyright(C)2014 The Bank of Tokyo-Mitsubishi UFJ,Ltd.All rights
reserved―
―
31
フィッシング対策
 メールのリンクを不用意に辿らない
 ブラウザの脆弱性を突かれて被害を被る可能性も
 メールのリンク文字列を確認する
 大抵マウスポインタを重ねると表示される
 スマホは…？
 メールを辿らずブックマーク等からアクセス
 正当なURLにアクセスしても釣られるパターンもある
 正当なページの改ざん
 ファーミング（第4回資料）
32
まとめ
 ネット上の匿名性は幻想である
 ネット越しに悪いことをしても、いずれ捕まる
 どうして捕まるのか、の技術的解説
 とはいえ、「なりすまし」「乗っ取り」に
は注意するべき
 即座に悪者全員を捕まられるわけではない
 常に自衛が必要
33
課題
 本日の講義を聞いて、掲示板やSNS利用等で新
たに自分が気をつけようと考えたことがあれば、
それを示してください。
 本日の講義であげた事例以外の事例を知ってい
れば、それを書いてください。
 自分の家族や友人がなりすましや乗っ取りで被
害を受けないようにするために自分ができるこ
とを考えて、それを書いてください。
 本講義の感想、要望、質問などあれば、書いて
下さい。