Zoomチャットを守る6つのセキュリティ対策とその必要性

Zoomのビデオ会議アプリは、仕事仲間や友人・家族とのつながりを保つのに最適なツールです。全員が1つのZoomミーティングに集まり、それぞれのカメラ映像が画面を均等に分け合う姿は、今や日常風景となりました。

Zoomは多くのユーザーにとって画期的な存在であり、無料プランの40分ミーティングは、有料サブスクリプションに加入したくない人にとって理想的な選択肢です。

しかし、Zoomのユーザー数が急増する一方で、プライベートな会話をZoomに任せて本当に安心できるのでしょうか?さらに、Zoomチャットを外部からの干渉から守るには、どのような対策が必要なのでしょうか?

Zoomは安全に使えるのか?

まず、最も気になる疑問から見ていきましょう。Zoomは安全に使えるのでしょうか?

2020年前半、新型コロナウイルス感染症(COVID-19)パンデミックへの対応として、Zoomのユーザー数は急激に増加しました。わずか3ヶ月で200万人以上の新規ユーザーを獲得するほどの人気を博す一方で、同社はユーザーのプライバシーとセキュリティに関して決して盤石とは言えない歴史を抱えています。

現在では教育機関、企業、さらには政府までもがこのサービスを業務に活用しており、Zoomのセキュリティ体制はかつてないほど重要な意味を持っています。

残念ながら、多くの場面でZoomのセキュリティとプライバシーに関する取り組みは十分とは言えません。以下に、Zoomが抱える主なセキュリティおよびプライバシー上の問題をまとめました。

1. エンドツーエンド暗号化されていない:ZoomはAES 256暗号化標準を使用していると主張していますが、実際に暗号化されているのはZoomサーバーへの初期接続のみです。ビデオ会話はUDP経由で送信されており、安全とは言えません。
2. メールアドレスの漏洩:Zoomアプリは、個人アドレスの扱い方の問題により「少なくとも数千件」のメールアドレスを漏洩させました。同じドメインで登録すると個人のアドレスが「会社ディレクトリ」に追加され、同じドメインを持つ誰もがリスト上の人に発信できる仕組みになっていたのです。この問題は、GmailやHotmail、Yahooなど以外の独自ドメインで登録したユーザーに影響します。
3. macOSアプリの不適切なインストール手法:ZoomのmacOSアプリは、マルウェアに関連するプリインストールスクリプトの悪用という手法を使っていました。システム管理者権限のないユーザーの場合、管理者ログインとパスワードのプロンプトを表示してルートディレクトリへのアクセス権を取得し、システム上で自由な操作を可能にしていたのです。
4. 秘密のWebサーバーの常駐:Appleは、Zoomが各Macに秘密裏にWebサーバーをインストールする行為を阻止しなければなりませんでした。このサーバーはユーザーがアプリを削除しても残り続けます。問題を公表したセキュリティ研究者ジョナサン・ライトシュ(Jonathan Leitschuh)氏によると、悪意のあるウェブサイトがユーザーの許可なくMacのウェブカメラを起動できてしまう恐れがあったといいます。同氏は、報酬に秘密保持契約(NDA)が含まれていたため、数千ドル相当のバグ報奨金を辞退しました。
5. Facebookへのデータ送信:Zoomは、Facebookを含む複数の企業に対し、ユーザーの利用状況に関する個人データを開示していたとされています。Zoom iOSアプリは、ユーザープロフィール、デバイス、モバイルキャリアなどの情報をFacebookへ通知していました。この問題は後に修正されましたが、修正前にカリフォルニア州連邦裁判所で訴訟が提起されています。
6. Zoombombing(ズームボミング):ユーザーが十分な強度のパスワード(そもそもパスワード自体)を設定していない場合、荒らしがアクセスの甘さにつけ込んで会話に侵入し、成人向けコンテンツなどを投稿する攻撃が発生します。

これはZoomユーザーが直面している6つの問題にすぎません。全体像ではないところが何より心配な点です。この記事の執筆中にも3つの新たな脆弱性が発見され、そのうち2つはゼロデイエクスプロイトでした。

多くの学校や職場は、連絡や業務指示のための手軽で費用対効果の高い手段としてZoomを採用しています。無数のユーザーにとって、少なくとも現時点ではZoomを使う以外に選択肢がないのが実情です。

Zoomミーティングを安全にする6つの方法

どうしてもZoomを使わなければならない場合は、自分自身と他の参加者のプライバシーとセキュリティをより確実に守るために、次の対策を講じましょう。

1. SNSでミーティング情報を共有しない

2020年3月末、イギリス政府の多くのメンバーがCOVID-19のために隔離生活を送っていました。当時のボリス・ジョンソン首相は、Zoomを使って「史上初のデジタル閣議」を開催しました。ところがジョンソン氏は、その会議のスクリーンショットをTwitterに投稿——なんとZoomミーティングIDが写ったままだったのです。

もちろん、数百人がそのミーティングへのアクセスを試みました。幸いパスワードが設定されていたため被害は免れましたが、この出来事は識別情報をSNSに投稿すると何が起こりうるかを如実に示しています。悪意ある人物は必ずそれを悪用します。

2. ミーティングにパスワードを設定する

Zoomミーティングには必ずパスワードを設定しましょう。パスワードは記号を含めて最大10文字まで設定でき、参加者は入室前にパスワードを入力する必要があります。これにより、侵入者やZoombombingを狙う荒らしからミーティングを守れます。

注意したいのは、Zoomのデフォルトのパスワード生成機能が6桁の数字しか使わない点です。高性能なパスワード解析プログラムなら数分で突破されてしまいます。10桁に増やしても、攻撃を数分遅らせる程度にしかなりません。最善策は、ミーティングごとに固有の10文字パスワードを設定することです。

強力で固有のパスワードを毎回考えるのは大変ですが、パスワード生成サイトを利用すれば簡単です。文字数を指定してパスワードを生成し、コピー&ペーストでZoomのパスワード欄に入力しましょう。

Webアプリでパスワードを設定する方法

Zoom Webアプリで右上のアカウントアイコンを選択し、「個人 > ミーティング > 新しいミーティングをスケジュール」に移動します。下にスクロールして「ミーティングパスワードを要求」にチェックが入っていることを確認し、固有の10文字パスワードを入力します。その他の詳細を設定して「保存」を選択してください。

Android / iOSアプリでパスワードを設定する方法

Zoomモバイルアプリで「スケジュール」を選択し、「パスワード」欄に強力で固有のパスワードを入力します。その他の詳細を設定して「完了」を選択すればOKです。

3. ミーティングごとにランダムなミーティングIDを使う

パスワード設定と同じセクションで、固定の個人ミーティングIDを使うか、ランダムなミーティングIDを生成するかを選択できます。

毎日同じグループで会議をするなら、固定IDの方が便利でしょう。しかし、ミーティングIDをランダム化すれば、IDが毎回変わるため、プライバシーとセキュリティが一段階向上します。

4. アテンショントラッキング(注視トラッキング)をオフにする

Zoomでは、ホストが参加者の集中状態を追跡できます。画面共有中に参加者がZoomウィンドウにフォーカスしているかどうかを、ホストはユーザーリストのインジケーターで確認できるのです。

ホストであればこの機能をオフにできますし、一般ユーザーも自分の設定でオフにして、ホストによる注視トラッキングを防げます。ただし、ホストがグループ全体に注視トラッキングを強制した場合、ユーザー側で上書きすることはできません。

さらに、このオプションはZoom Webアプリからしか操作できません。AndroidやiOSアプリからオフにする方法はありません。

Webアプリで注視トラッキングをオフにする方法

Zoom Webアプリで右上のアカウントアイコンを選択し、「個人 > 設定 > ミーティング > ミーティング(詳細)」に移動します。下にスクロールして「注視トラッキング」のチェックを外し、「保存」を選択してください。

5. ローカル録画をオフにし、録画同意をオンにする

Zoomセッションの録画については、ある程度コントロールできます。ただし、それは相手が統合録画機能を使う場合に限られます。ホストや他の参加者がサードパーティ製の録画ツールを使えば、防ぐ手立てはありません。

だからといって録画オプションを放置すべきではありません。オフにしておけば、ホストはあなたの同意なしにセッションをローカルファイルへ録画できなくなります。

注視トラッキングと同様に、録画オプションの編集はWebアプリからのみ可能です。

Webアプリで録画設定を変更する方法

Zoom Webアプリで右上のアカウントアイコンを選択し、「個人 > 設定 > 録画」に移動します。「ローカル録画」をオフにすると、ホストや他のユーザーがローカルファイルに録画できなくなります。

その下の「録画時の免責事項表示」をオンにし、両方のチェックボックスにチェックを入れます。これにより、ホストはミーティングを録画する前に参加者の同意を求める必要が生じます。あなたがホストなら参加者に同意を求め、参加者ならホストから許可を求められる仕組みです。

6. Zoom使用中はプライバシーを意識する

職場や学校などがZoomの使用を義務付けている場合は、個人のプライバシーを守る習慣を実践しましょう。具体的には、Zoomや他の誰かに知られたくない話題には触れないこと。個人的なデータや機密性の高い情報は最小限にとどめるのが鉄則です。

言うは易く行うは難しですが、特に興奮した家族と話したり、ビジネス取引を進めたりする場面ではなおさらです。それでも長期的にはZoomからあなたのプライバシーとセキュリティを守ることにつながるため、試みる価値は十分にあります。

この記事を友人、家族、教師、同僚と共有すれば、なぜあなたがZoomの使用や個人情報の公開に慎重なのかを理解してもらえるでしょう。

プライバシー保護のためにZoomの代替サービスを検討する

Zoomは今話題のビデオ通話アプリですが、完璧な選択肢からは程遠い存在です。ビデオ通話の品質は優れ、アプリはテクノロジーが苦手な人でも使いやすく、世界的に厳しい状況の中で家族や職場をつなぎ止める助けになっているだけに、プライバシーとセキュリティの問題は本当に惜しいところです。

幸い、Zoomよりも最初から優れたセキュリティとプライバシーを提供する代替サービスは存在します。家族全員がiOSデバイスを使っているなら、FaceTimeは最大32人まで参加可能で、エンドツーエンド暗号化に対応しています。Skypeは無料セッションで最大50人まで通話可能で、接続が不安定になることもありますが、エンドツーエンド暗号化をはじめ、Zoomにはないセキュリティ標準を採用しています。

さまざまなビデオ会議アプリの脆弱性についてもっと詳しく知りたい方や、オンラインでのプライバシーとセキュリティを強化したい方は、SNSからメール、VPN、オンラインデートまで幅広くカバーするオンラインプライバシー対策ガイドもぜひ参考にしてください。