Zoomのセキュリティ問題はどうなった？より安全に利用する方法は？

Zoomは、オンラインでテレビ会議できるツール。チャットや画面共有など会議に必要な機能も備わっています。

新型コロナウイルス感染症で世界中の企業・団体がリモートワークに迫られましたが、そのなかでWeb会議のツールに選ばれたのがZoomです。Zoomの利用者数は、2019年12月末に全世界でユーザー数1,000万人だったのが、2020年3月には3億人に達する急成長を見せています。

その一方で、多くのセキュリティ問題が指摘され、Zoom社は対応に追われることになりました。現在では解消されていますが、どのようなセキュリティ問題があったか、経緯を確認していきましょう。

Zoomは当初、端末同士が「エンドツーエンド」に通信内容を暗号化していると説明していました。しかし、実際には通信を中継するZoomサーバー側でも暗号鍵を持っていて内容を解読できるのでは、と指摘されました。

この問題は2020年5月に新たな暗号化規格「AES-256 GCM」を導入したり、2020年10月に端末間のエンドツーエンドの暗号化に対応し、解消されています。

ZoomでのWebミーティングに必要なIDやパスコード、ミーティングURLをなんらかの理由で知り得ると、悪意のある第三者がミーティングに参加できてしまいます。

そのミーティングで画面共有機能を悪用し、不適切な発言や画像、動画の配信などの嫌がらせ行為が「Zoom爆弾（= Zoom Bombing）」です。

Zoom爆弾の被害を減らすため、Zoomサイドでは「待機室」機能を用意し、2020年4月からデフォルトで有効にしています。ユーザーが講じられる対策としては、ミーティングURLを不必要に公表しない、ミーティングにパスワードを設定するといったものが挙げられます。

iPhoneなどiOS版のZoomでは、Facebookアカウントでログインできる機能を実装していました。しかし、このときFacebook側がユーザーの同意なしにデバイス関係の情報を収集していたことが明らかになりました。

ZoomはiOS版アプリを改修し、2020年3月にこの問題は解消しています。

Windows版Zoomのチャット機能に脆弱性があり、不正なURLをクリックすると、認証情報を詐取されたり任意のプログラムを実行される可能性がありました。

この問題は2020年4月のZoomアップデートでただちに解決されています。

Zoomの通信が中国のサーバーを中継し、内容を中国に閲覧される可能性があったことは、大きな問題となりました。

Zoom社はこの原因を「人為的なミス」とし、2020年4月に有料プランでは中継サーバーを指定できるよう変更しました。なお無料プランの場合、ユーザーの所在地からもっとも近いサーバーに接続します。

以上のように、主なセキュリティ問題は2020年4月頃に集中的に対処されています。

新型コロナウイルス感染症が広まる前、Zoomはそれほど注目されていませんでした。また、Zoom側もユーザーを増やすために利便性重視の設計を行っていました。

ユーザーの急増によって攻撃者からも注目を集め、セキュリティの粗が一気に見つかる事態になったと考えられます。

こうした点を踏まえ、Zoomではセキュリティ関連企業を買収したり、セキュリティの特設ページを設けるなどし、ユーザーがより安心して利用できる対策を行っています。

Zoomでは上記のようなセキュリティ上の問題が起こりましたが、いずれもすでに解決されて安心して利用できるようになっています。

とはいえ、ユーザーサイドでもZoom利用にあたって気をつけるべきセキュリティ項目が6つありますので、それを紹介します。

セキュリティ問題といったトラブルは、Zoomに限らずインターネットツールの利用にあたっては避けて通れない問題です。これに対する最善策は、Zoomを最新版に保つことです。

Zoomのアップデート通知が来たら、溜めずにアップデートしましょう。

これは主にZoom爆弾対策ですが、ミーティングルームのURLの漏洩リスクを低減するには、安易にURL公開しないようにします。さらに、ミーティングルームのパスワードを設定し、入室の際に入力してもらうようにします。

セキュリティが確保されたWi-Fi環境から、Zoomミーティングに参加することは問題ありません。フリーWi-Fiの場合、暗号化が不十分なものもあり、認証情報やミーティング内容を盗まれてしまう危険性があります。

したがって、企業用途ならフリーWi-Fiからの接続は禁止する方が良いでしょう。

Zoomの「待機室」は、ミーティングURLから来た参加者を、一旦待機させておくスペースです。待機しているメンバーは、管理者の許可がないとミーティングに参加できません。

事前に不審なメンバーの有無を確認できるので、Zoom爆弾に遭う危険性を下げられます。

すでに開始したZoomミーティングに後から鍵をかけ、現在参加しているメンバー以外を入室させないようにもできます。こちらもZoom爆弾対策に有効な一手となります。

特定ドメインのメールアドレスを持つZoomユーザーに限定する設定があります。Zoomの利用が組織内のメンバー同士に限定される場合、この設定でセキュリティを強化できます。

新型コロナウイルス感染症の影響で世界中のリモートワークが増えたことから、Zoomの利用者は2019年12月の1,000万人から2020年4月のピーク時で3億人と、30倍に急増しました。参加者側は無料なので、Web会議でZoomに参加した経験がある方も多いのではないでしょうか。Zoomの基本やホストになった場合の録画方法、その他のWeb会議ツールの比較については、以下の記事もご覧ください。

急激なZoom利用者の増加によって、2020年初頭はさまざまなセキュリティ問題が指摘され、Zoomの使用を禁止する組織も出ましたが、現在それらの問題は解消しています。

今後も安心してZoomを利用するには、ユーザーサイドのセキュリティ対策も重要になります。とはいえ、それほど難しいものでありません。不用意にミーティングURLを公開しない、ミーティングルームにパスワードを設定する、無料Wi-Fiからの参加は禁止する、などといった基本的な運用ルールを設けると良いでしょう。

より安全なZoomミーティングのために、本記事をほかのメンバーへのシェアをおすすめします。