「Zoom-Bombing」と呼ばれる事象への対処方法について

  • HOME
  • 「Zoom-Bombing」と呼ばれる事象への対処方法について

「Zoom-Bombing」と呼ばれる事象への対処方法について

【2020/4/24 一部改版】
お客様各位
2020年4月10日
NECネッツエスアイ株式会社
平素格別のご高配を賜り、厚く御礼申し上げます。
また共創ワークソリューション Zoomをご利用頂き、誠にありがとうございます。

昨今、「Zoom-Bombing」と呼ばれる愉快犯的な行為の発生が報告されています。 具体的には、Zoomを使ったオンライン会議や遠隔授業に第三者が参加し、不快な画像を表示するなどして会議の進行妨害、参加者に対する嫌がらせを行う行為となります。
このような行為に対しては、本来Zoomサービスが備えている標準のセキュリティ設定の適用や、ミーティングの主催者(以降ホスト)が所定の操作を行うことにより、未然に 回避することが可能です。
以下にその設定例を記載いたしますので、ご利用者様各位におかれましてはご参考にして頂き、より安全にZoomミーティングをご利用頂けますようお願い申し上げます。

<1>不正参加を防ぐセキュリティ設定

事象
第三者が何らかの方法でミーティングIDを認知または類推することで、不正にZoomミーティングに参加し、画面共有やチャット等の利用により不快な画像、文言を参加者の端末に表示させる。
対象
下記「対処方法1~4」に例示するいずれかのセキュリティ設定を行っておらず、ミーティングIDが何らかの方法により認知・類推されたZoomミーティング

対策の内容

下記のいずれか一つの対処を行うことにより、Zoom-Bombingを未然に防ぐことが可能です
対処法 1:ホストが、Zoomミーティングをスケジュールする際に、パスワードを設定する。
対処法 2:ホストが、Zoomミーティングをスケジュールする際に、待機室機能を有効化する。
Zoomアプリケーションにログイン後、「スケジュール」を開き「詳細オプション」にて「待機室を有効化」にチェックを入れます。
上記の対処により、参加者はミーティングIDを入力後、参加待ちの状態となり、主催者の許可によってはじめてミーティングに参加できるようになります。

※待機室の有効化については、Ver.4.6.10以降へのバージョンアップにより会議中に「セキュリティ」から簡単に設定できるようになりました。
対処法 3:ホストが、Zoomミーティング開催中に「ミーティングをロックする」を実行する。
Zoomミーティング中にアプリケーションのウィンドウ下部「参加者を管理」をクリックし、右下の「詳細」から「ミーティングをロックする」をクリックします。
上記の対処により、ロック実施以降のミーティングへの参加を防止します。(同様の操作により、ロック解除も可能です)

※ミーティングのロックについては、Ver.4.6.10以降へのバージョンアップにより「セキュリティ」から簡単に設定できるようになりました。
対処法 4:ホストがZoomミーティングをスケジュールする際に、参加できるユーザーのドメインを指定する。
Zoomアプリケーションにログイン後、「スケジュール」を開き、「詳細オプション」にて「認証されているユーザーしか参加できません」にチェックを入れます。
その後「編集」をクリックし、参加させたいユーザーのドメインを “ , ” (カンマ)区切りで入力後、「保存」をクリックします。
上記の対処により、設定されたドメインを持つユーザーアカウント(メールアドレス)でZoomアプリケーションにログインした参加者のみ、会議に参加させることが可能となります。
※本機能の有効化については、管理者側での初期設定が必要となります。
※上記対処方法1~4については、管理者権限にてZoomアカウント全体に設定を有効化・強制することが可能です。
導入ユーザー様での利用ケースに応じ、適用する対処及び管理方法をご検討ください。
弊社でZoomサービスをご契約のお客様は、契約者様向けサイトにて管理者マニュアルをダウンロード願います。

※上記対処方法が利用できない場合、管理者権限にて設定が有効化されていない可能性があります。必要に応じて、管理者権限にてZoom Webサイトにログイン頂き、各設定の有効化を実施ください。

<2>ミーティングIDを類推されない為の対策

事象
ミーティングIDの認知・類推が行われる事象。

対策の内容

■ミーティングIDをWebページやSNS等、第三者の目に触れる場所に記載せず参加者に個別に通知する(最も重要です)
■不特定多数が参加する可能性のあるミーティングに対し、パーソナル(個人)ミーティング IDを使用せず、スケジュールの際に自動的に生成する設定とする。

※インスタントミーティング (Zoomアプリケーション上で「新規ミーティング」をクリックすることで開始するミーティング)に対しても、自動的に生成する設定を適用することが可能です。
ホストが設定サイト(※別窓でZoomサイトが開きます)にサインインし、「インスタントミーティング開始時に個人ミーティングID(PMI)を使用」項目をOFF(右側のスイッチをクリックして灰色に設定)します。

<3>Bombing被害にあった際の対処法(ご参考情報)

事象
実際に Zoom-Bombingに遭遇した際の対処方法

対策の内容

ホスト(ミーティング主催者)の操作により、 画面の共有を停止させる。
画面共有の停止後に、ホストの操作により 「参加者」一覧から 攻撃者を退室させる。
※Ver.4.6.10では、画面共有の停止後、ホストの画面の「セキュリティ」から攻撃者を退室させることができます。

上記を実施後、<1>対処法3に記載の「ミーティングをロックする」を実施し、攻撃者の再度の入室を制限する。 
現在、Zoomのセキュリティについては現在様々な報道がなされておりますが、サービス提供元である Zoom Video Communications, Inc (以降、米 Zoom社 )はその主たる事象について、アプリケーションのバージョンアップによる対策を完了しております。
お客様各位におかれましては、お使いのZoomアプリケーションを最新版 Ver.4.6.10 にアップデートして頂けますようお願いいたします。
【Zoomアプリケーションのバージョン確認方法】
  例)Windowsの場合
※バージョンが4.6.10未満の場合は、「アップデートを確認」から更新が可能です。
 例)iOS(iPhone)の場合
※バージョンが4.6.10未満の場合は、「App Store」から更新をお願いします。
ご参考:ZoomのiOS及びWindowsクライアントにおける脆弱性問題の対応について
https://symphonict.nesic.co.jp/zoom/notification-001/

なお、米 Zoom社 の Eric S. Yuan CEOは現地時間 2020年 4月 1日 上記事象を含むセキュリティ上の懸念に対して声明を発表し 、今後90日間は 社内のリソースを集約しセキュリティ問題の修正に専念すると宣言しています。

上記発表の詳細については、以下のURLをご参照ください(英語)
https://blog.zoom.us/wordpress/2020/04/01/a-message-to-our-users/

また、最新のセキュリティポリシーについては、以下のURLをご参照ください。
https://zoom.us/jp-jp/privacy.html

弊社は今後もZoom Video Communications ,Inc及び、その日本法人である ZVC Japan と連携し、より安全で快適なサービスをご提供できるよう努めてまいります。