Zoom爆撃と予防策についてまとめてみた

COVID-19のパンデミックを受け、教育機関や企業などでリモート会議（イベント）を導入する動きが強まり、Web会議サービスを提供するZoomでは（有料・無料併せた）会議参会者は昨年12月末の1000万人から3月には2億人を超える人数が利用しており、それに合わせて複数の問題も確認されています。ここではその中でZoom爆撃ともいわれるZoomミーティングを狙った荒らし行為についてまとめます。

Zoomを狙った荒らしの発生

Zoomで行われるミーティングで本来参加を想定していない第三者が参加し行う荒らし行為（Zoombombing、Zoom爆撃）が発生している。
荒らし行為を通じてミーティングやイベント進行に支障が生じ、中断につながる恐れがある。
海外でZoomBombingによる被害報告が複数取り上げられている。公序良俗に反する内容（ポルノなど）を画面共有したり、ヘイトスピーチ等でチャットを汚染したりする事例が報告されている。
FBI ボストン支部は2020年3月30日、マサチューセッツの学校で発生した事例を元に注意喚起を呼び掛けている。

事例 (1) プレゼン中に人種差別用語を書き込み

大学で行ったプレゼンテーションにて、開始から10分後にZoomのポインターが有効となっていることが判明。
その後、何者かにより注釈機能を悪用して人種差別用語や性器のイメージが描かれた。さらにその後にポルノ写真、動画が表示された。
オンライン上の講義や授業を狙った行為は他にも複数報告されている。*1 *2 *3 *4

*5 *6

campaigns.organizefor.org

事例 (2) 複数の荒らしアカウントを生成・乱入か

Zoomで開催されたシナゴーグで参加者数が205人から突如243人に増加。予期せぬ参加者1名により複数のアカウントが自動生成された可能性がある。
グループ用のチャット画面はその後、罵詈雑言で埋め尽くされた。

www.bbc.com

事例 (3) 名前変更で荒らしが追い出しへ対抗

人気のZoomミーティングイベントで荒らし行為が発生。ポルノビデオ等を共有。
加害者を削除しても新しい名前で再度会議へ参加するイタチごっことなり最終的に会議は中断された。*7

jp.techcrunch.com

複数のアカウントを切り替えることによる追い出しへ対抗する動きは他イベントでも報告されている。

Zoomミーティングをウォーダイヤリング

Zoomの会議単位で発行される識別情報（ミーティングID）はランダムな数字9～11桁で構成されている。
総当たりで推測される攻撃に対し4%の確率で有効な会議を推定できたとする昨年7月にCheck pointの検証報告があった。
その後、Zoom側はウォーダイアリングの対策を行ったとしているが、Torベースの検証ツール（開発者はzWarDialと呼称）を通じこれをバイパスできたとの報告がある。
その検証ではパスワードで保護されていないZoomミーティングを1日で約2,400件検出。1時間当たり平均して110件の会議を発見し、成功率は14%に及ぶ。会議参加に必要となるリンクとして開催日時、主催者名、会議で取り上げるトピック等が確認できたという。

krebsonsecurity.com

爆撃を予防しよう

荒らし行為等への予防策として複数の方法が紹介されている。

How to Keep Uninvited Guests Out of Your Zoom Event

このガイドラインの他、SNS上では複数のHow toが共有されている。

以下はこれらのHow to等を参考にpiyokangoが検証しまとめたもの。無料プランで検証したため、有料プランで可能な機能については実際の動作を確認していません。

設定を見直す

既定設定がこれから行う会議の内容として妥当か確認する。

参加者同士の個人間チャットが必要なければ「プライベートチャット」を無効化しておく。無効となっている場合、ホストのみ、あるいは全員でチャットが可能。
ファイル送信の必要がなければファイル送信を無効化しておく。マルウェアがまかれる可能性もある。あ（その後 4月5日時点で当該設定項目自体の表示確認できず）
参加者側の画面共有設定が必要なければ共有対象者を「ホストだけ」としておく。
画面共有は会議開始後も変更できるが、事前にZoomの設定（ミーティングにて（基本））より画面共有の箇所を変更しておくのが良い。
ホワイトボードなどを使い注釈を行うシーンがあるが、参加者に書いてもらう必要がなければ無効化しておく。
誤って遠隔操作される可能性を防ぐため、必要がなければ遠隔操作も無効化しておく。
パスワード有効時も既定で参加リンクがワンクリック参加可能で生成されるため、無効化しておく。

f:id:piyokango:20200405065452p:plain — 既定の設定確認が必要な箇所

開始前の荒らし対策

ミーティングスケジュール時に以下の設定を確認すること。

設定項目	設定内容	効果
ミーティングID	「自動的に生成」を選択（既定）	一度きりの会議IDとなり何かあった際も仕切り直しが可能。
ミーティングパスワード	「ミーティングパスワードを必要とする」にチェック（既定）	ミーティングIDが漏れた場合に第三者による参加を予防。

また必要に応じて次のオプションを選択する。

設定項目	設定内容	効果
ホストの前の参加を有効にする	✔を外す（既定）	参加者がホストが来る前に勝手に何かを始める（探査する）ことを防ぐ。
入室時に参加者をミュートにする	✔を外す（既定）	参加者が会議中にしゃべる（騒ぐ）ことを防ぐ
待機室機能を有効にする	✔を入れる	事前に参加者をスクリーニング可能。

f:id:piyokango:20200403095830p:plain — 待機中の参加者は会議の内容は見えない

f:id:piyokango:20200403095930p:plain — 待機室が有効の場合、参加後も待機室送りができる

ウェビナー等の有料プランでは事前登録を行った人のみ参加させることも可能。

開催通知に注意

プライベートなミーティングの場合、SNSなどで招待リンクやミーティングIDをさらす行為を行わない。
英国首相が公開したZoomミーティング上での閣僚会議の画像でミーティングIDが掲載されていたが、幸いにしてミーティングパスワードが設定されていた。

This morning I chaired the first ever digital Cabinet.

Our message to the public is: stay at home, protect the NHS, save lives. #StayHomeSaveLives pic.twitter.com/pgeRc3FHIp
— Boris Johnson #StayHomeSaveLives (@BorisJohnson) 2020年3月31日