セキュリティ
記録保管室に忍び込むのに、本物のセキュリティバッジなど必要ありません。うまく話術を使えばいいだけです。
PWNED 毎週恒例のコラム「PWNED」へようこそ。セキュリティ上の自滅的な失敗を取り上げ、皆さんが同じ轍を踏まないようにするコーナーです。今週取り上げるのは、医療業界における深刻な問題です。とりわけ、ゲートキーパー役の人間そのものが弱点になってしまうという、極めて人間的な問題を扱います。
ネットワークに大穴を開けてしまった経験談をお持ちの方は、ぜひ[email protected]までお寄せください。ご希望であれば匿名での掲載も可能です。
今回の「間抜けな伝説」を提供してくれたのは、レッドチーマーのDahvid Schloss氏です。同氏はこれまでも数々の興味深いエピソードを語ってくれており、本コラムでも何度か取り上げてきました。Schloss氏はネットワークセキュリティだけでなく、さまざまな場所の物理セキュリティのテストも数多く手がけてきたキャリアの持ち主です。彼が学んだのは、「いかにもそこに所属しているかのように振る舞えば、たいてい周囲もそのように扱ってくれる」ということでした。
ある病院で、Schloss氏は記録保管室への侵入テストを依頼されました。目的は、依頼主があらかじめそこに置いておいた特定の物理ファイルを盗み出すことです。ただし記録保管室には電子錠が備わっているうえ、看護師が門番として常駐しているという難関がありました。
Schloss氏によると、記録保管室に入る方法をいくつか検討したといいます。鍵をピッキングする、バッジを複製する、あるいはアクセス権を持つ人物のバッジを盗むといった手も考えました。しかし最終的に選んだのはソーシャルエンジニアリングでした。
Schloss氏はまずその病院について下調べを行い、それらしいスクラブ(医療用ユニフォーム)を身にまとい、絶対にスワイプできない偽のセキュリティバッジまで作成しました。あとは、記録保管室で当番についている看護師をいかに味方につけるかが勝負でした。ここでいう「味方につける」とは、要するに「医師の悪口で共感を誘う」ということです。
「看護師というのは、とにかく愚痴が多いんです。病院という場所では、それがもう鉄則みたいなものですから」とSchloss氏は語ります。
そこで彼は動かないバッジをわざとスワイプしてみせ、反応しないことにいら立った様子を演じました。それから当番の看護師がいる窓口に歩み寄り、彼女の心をつかみにかかりました。
「『調子はどう、ハニー。俺は元気だよ』と声をかけました」とSchloss氏は振り返ります。「『実はね、細かい事情は省くけど、Johnson先生が今めちゃくちゃ機嫌が悪くてさ。トラウマ対応で出しておくはずだったカルテを出してなくて。それが必要だからって、ここに寄越されたんだ。俺、実はまだ入って日が浅くて、昨日始めたばかりなんだよね』と伝えたんです」
Schloss氏は事前調査をしっかり行っており、実在する担当医の名前を選んで使っていました。ただ、彼が知らなかったのは、その医師が実際に扱いにくい人物として知られていたことです。看護師は彼を室内に入れる前に、「あなたの味方よ」と言わんばかりの態度を見せました。
「看護師が『あら、その気持ち痛いほどわかるわ』って言ってきたんです」とSchloss氏は続けます。「『任せて』と言って、ドアを開けて中に入れてくれました」
Schloss氏は記録保管室に入って目的のファイルを回収したあとも、その場に留まってさらに10分ほど看護師と会話を続けました。バッジを有効化していないセキュリティ部門の無能ぶりに文句を言い、看護師にも一部の医師がいかに嫌な奴らかを愚痴らせてあげたのです。前職についての作り話まで用意していたといいます。看護師は去り際、今度一緒にランチでもどうかと彼を誘ってきたそうです。
Schloss氏がテストを行った他の病院では、ネットワークセキュリティのずさんな運用実態も見つかりました。ある病院では、待合室に座ったままゲスト用Wi-Fiネットワークにログインし、スキャンを実行してみたといいます。
その結果判明したのは、病院内の重要な機器がすべてVLAN 1、つまりゲスト用Wi-Fiと同じネットワーク上に置かれていたことでした。MRI装置のような医療機器から出るデータはすべて容易にアクセス可能で、しかも暗号化されていませんでした。Schloss氏によれば、これまでテストしたほとんどの病院で、大半の医療機器がネットワーク経由で送信するデータを暗号化していないとのことです。
「つまり、MRI装置がネットワーク経由で垂れ流している情報から社会保障番号が拾えてしまい、患者データや生年月日といった、どんな組織であっても大問題になるはずの個人識別情報(PII)まで全部取れてしまうんです」と同氏は述べています。
Schloss氏は、これまでテストしてきた病院の多くが、優れたセキュリティ衛生よりも「機器を止めずに稼働させ続け、データを迅速にやり取りできること」を優先していると見ています。もし誰かがデータにアクセスしようとして失敗し、ITサポートに助けを求めなければならなくなれば、そのわずかな遅延が人命に関わりかねないからです。
とはいえ、たとえそれが生死に関わる問題だとしても、見た目や振る舞いがそれらしいというだけの理由で、制限区域に人を立ち入らせてはいけません。 ®
