ホテルのPCにキーロガーが仕込まれていて個人情報や財務データを盗まれる可能性がある

by Leonid Mamchenkov

ホテルには仕事が行えるようにPCやプリンターが設置されていることがありますが、ホテルのPCには個人情報やクレジットカードの情報を盗むためのキーロガーが仕掛けられている恐れがあるとアメリカ合衆国シークレットサービスが2014年7月10日に注意を喚起しました。Krebs on Securityでは勧告の内容とともに公共の場でのインターネット使用におけるオススメの方法などがまとめられています。

Beware Keyloggers at Hotel Business Centers — Krebs on Security
http://krebsonsecurity.com/2014/07/beware-keyloggers-at-hotel-business-centers/

この勧告は一般に公開されたものではなく、接客産業の会社に配布されたもの。

シークレット・サービスと国土安全保障省のサイバーセキュリティ部門(NCCIC)によると、テキサス州ダラスの有名なビジネスホテル数軒でコンピューターを危険にさらしたとして数人の容疑者が逮捕されたとのこと。容疑者らは盗んだクレジットカードを使ってホテルの顧客登録を行い、その後ホテルのビジネスセンターにあるPCからインターネットにアクセスし、GmailアカウントにログインしてPCにキーロガーを仕掛けたそうです。これによって他の顧客がPC上でパスワードなどを打ち込むと、内容が自分のGmailアドレス宛てに情報が送信されてくるというわけ。送信された情報には信用証書・現在＆過去に使用していたメールのアカウントなど極めて個人的なものも含まれていました。

by marsmettnn tallahassee

シークレット・サービスがホテルに提案した対処方法としては「管理者アカウントにしないなど、ゲストのアカウントを制限してソフトウェアを勝手にインストールできなくする」というようなものがありましたが、ゲストアカウントでもソフトウェアをインストールできる人はざらにいるため、昨今のキーロガー対策としては十分ではないとKrebs on Securityは指摘しています。

共有PCの状態を再起動のたびに初期化するマイクロソフトのSteady Stateなどを使う手もあるのですが、このようなアプローチはCDやUSBメモリを使われてしまうと意味がありません。マイクロソフトが「10 Immutable Laws of Security(変わることがないセキュリティの10原則)」の中で「ある悪人があなたのコンピューターに物理的にアクセスしたら、それはもうあなたのコンピューターではない」と書きつづったように、セキュリティの攻防は熟練のアタッカーに対して打つ手がないこともあります。

by International Institute of Tropical Agriculture

最も賢明な方法は、公共のコンピューターではネットサーフィン以外しないということ。もしメールの内容を印刷する必要がある場合は10 Minute Mailなどで使い捨てのメールアカウントを作成してモバイル端末から使い捨てアドレスへファイルを送信し、そこからプリントアウトするなどの方法がオススメされています。