セキュリティ
人々は、正当な仕事をしていると思い込めば、何でもやり過ごせてしまうものです
PWNED 今週もPWNEDへようこそ。このコーナーでは、セキュリティ面で自らの弱点を克服できなかった組織にまつわる逸話を毎週お届けしています。
今週のエピソードは、プロのレッドチーマーであるDahvid Schloss氏から提供されたものです。同氏は先週お伝えした、ハッカーたちが立ち入り制限区域へのアクセスを得るために雪かきをしたという話にも監督役として関わっていました。今回はSchloss氏自身が侵入者となり、より快適な接続環境を約束することでそれを成し遂げました。
あるアサインメントで、Schloss氏はフォーチュン500の上位に名を連ね、国際的なスポーツ競技会のスポンサーとしてトロフィーを提供していることで知られる企業の物理的セキュリティおよびネットワークセキュリティをテストするよう依頼されました。同氏によると、このトロフィーは3つ複製されており、優勝者用、開催国用、そしてスポンサー用にそれぞれ1つずつ用意されていたといいます。
Schloss氏が監査を実施していた当時、訪問先の拠点は工事中で、オフィスのWi-Fiに不具合が生じており、全従業員がそれに気づき、うんざりしていました。そのため、Schloss氏とそのチームがその場に乗り込み、無線ネットワークの調査を始めても、誰も彼らを怪しみませんでした。
「私たち3人が、ノートパソコンからアンテナを突き出した状態でキャンパス内を歩き回っていました。特に隠すつもりもなかったのですが、ここはカリフォルニアですし、テック系の人間やオタクがそこら中にいるので、パソコンからアンテナが突き出ていても誰も驚かないだろうと考えていました」とSchloss氏は語っています。「でも、みんな私たちに声をかけてきました。ただし、『ここにいていいのか』ではなく、『Wi-Fiを直しに来たのか』と聞いてくるんです」
建物内を歩き回った末、Schloss氏とそのチームはマーケティング部門にたどり着きました。そこにはケースに収められたトロフィーの1つがあり、同氏の見積もりでは少なくとも25万ドルの価値がある(あるいは、世界に3つしかないため、値段がつけられないとも言える)ものでした。自分の仕事がネットワークセキュリティだけでなく、セキュリティ全般のテストであることを踏まえ、同氏はケースを開けてトロフィーを取り出しました。
マーケティング部門の誰かが、Schloss氏がケースからトロフィーを取り出しているところを目撃し、その最中に声をかけてきました。その質問は「Wi-Fiを直しに来たんですか?」というものでした。同氏が「はい」と答えると、マーケティング担当者はトロフィーがバックパックに滑り込むのを気にも留めずにその場を去りました。
同氏はトロフィーを建物の外に持ち出し、2週間半にわたって手元に置いていましたが、その間、誰からも何も言われませんでした。しかし、企業幹部に向けてプレゼンテーションを行う日が来ると、同氏はこの戦利品を持参しました。
「私たちは役員会議室に歩いて向かい、そこで最初にしたのはトロフィーを取り出してテーブルの上に置くことでした」とSchloss氏は語っています。「そこにいた幹部たちは、これから成熟度に関するセキュリティ報告を受けようとしていたところでしたが、それだけで十分でしたね。みんなの目が丸くなるのが見えましたよ」
この話から学べるのは、従業員は職場にいる人物を信用しがちだということです。それは外部の請負業者であっても変わりません。もしその人物がその建物にいて当然だと思い込んでしまえば、たとえ不正な行為をしているのを目撃したとしても、その動機を疑うことはないのです。
これで思い出すのが、私が何年も前に勤めていた職場での出来事です。夜6時ごろで、ほとんどの人がオフィスを後にしていましたが、清掃員の女性が掃除をしていました。すると、同僚のキュービクルから騒ぎが聞こえてきました。ジムに行っていて財布を机に置き忘れていた同僚が戻ってきたところ、清掃員が財布から現金を抜き取っているのを見つけたのです。
最初は信じられず、何かの誤解だろうと思いました。というのも、Schloss氏の偽Wi-Fi修理業者一味とは違い、清掃員の女性はその夜、正当にそこで働いているはずの人物だったからです。しかし、同僚は彼女を現行犯で捕まえ、彼女は後にお金を盗んだことを認めました。
ですから、建物にいて当然に見える人物、特に見知らぬ相手であっても疑うよう、スタッフを教育しておくべきでしょう。®
