メールに添付するZIPファイル

セキュリティ

3月のEMOTETはすごかったです、活発過ぎです。

 

うちみたいな零細中小でもお目こぼし無しで攻撃してきます。　ただ中のひとたちはフィルターされた結果しか見てないので、外が騒がしくなっていることに気が付いていません。　ZIP止めたら色々来ました。

 

客からログファイルを送ってもらえないじゃないか！

うちの製品にはログをZIPファイルで吐かせて、お客様に添付ファイルでメールで送らせるような面倒なこと強要するような製品がまだ有ったのですね。クラウドストレージ + IoT時代に手動でメール添付ですか？　一応メール添付ではない代替手段は２年まえから案内していますが、初めて知ったような口ぶりは止めて欲しいです。それよりも衝撃的なのは「誰でもアップロードできると危ないんじゃないの？」とコメントされたことです。あんたは、パスワードもつけず、誰彼構わずURLを配布するつもりなのか？　いったい何を考えているのか謎すぎます。

 

ZIPで暗号化しないと危ないじゃないか！

うちから出すメールはTLSで暗号化されてますけど何か？　と言いたいところですが、相手しだいな面もありますし、中継上どうなるか保証できない弱みもあります、有効性をどのように評価すれば良いか？　と思っていましたらGoogleが出している「透明性レポート」で見るとGoogleが捉えているトラフィック中の90%程度が暗号化されているようです。

f:id:myrtblog:20220311105612p:plain

暗号化率の推移

暗号化の有効性はここ数年で各段に改善されていることは間違いないところです。　またこれは想像ですが、おそらくB2Bであればほぼ100%有効であるものと考えています。　しかし個人のアカウントではまだまだ平文のメールを見かけることは多く、暗号化を強制することが難しいのだろうことを伺わせます。　日本最大手の民間銀行からの取引通知もGmailで見ると赤鍵でしたが、通知サービスをあまねく滞りなく提供することを優先した上での選択なのでしょうが悩ましい問題です。

 

いずれにしても、状況の説明や代替手段の周知しか無いのですが、ユーザーの皆さんにも、同じ手段がずっと使える訳では無いことも理解して欲しいと思いました。　ただ白状すると、本当は暗号化されたZIPだけを選別して止めたかったのですが、システムの都合上一毛打尽になってしまったのは申し訳ないです。　ゆるしてちょんまげ。