文書ファイルに潜む危険性の解説

解説動画

個人情報がだだ漏れ！？文書ファイルに勝手に氏名情報が付与される！？

何気なく告知等で自分が作成した文書ファイルをホームページ等に載せていませんか？

実は文書ファイル（Word、Excel、PowerPoint、PDF等）には、
・作成者の氏名
・利用しているソフトウェア名とそのバージョン
等の情報が目に見えない形で保存されています。
※これを防ぐには、文書ファイルのプロパティ画面から、プロパティや個人情報の削除を実行する必要があります

今回はWordで作成した夏祭りの案内文書をPDF化して、インターネット上に一般公開した想定で、PDF文書ファイルからどんな情報が取得できてしまうかのデモを行いました。

攻撃者の目的

・個人情報（氏名、ログインID）を取得する
・利用しているソフトウェアの名前、バージョン情報を取得する
上記を取得して、なりすましや、当該ソフトウェアのセキュリティホール（脆弱性）を悪用した攻撃に繋げます

攻撃者の手口

(1)インターネット上から文書ファイルを収集する
ターゲットのサイトから文書ファイル（Word、Excel、PowerPont、PDF）を検索し、ねこそぎダウンロードします。
※収集するツールも出回っているため誰でも簡単に収集可能です

(2)個人情報を取得する
各文書ファイルのプロパティ情報を取得し、個人情報、利用しているソフトウェア情報を取得します。

(3)情報を悪用して攻撃する
文書ファイルのプロパティ情報によっては担当部署・氏名まで特定できるため、電話等でのなりすましに悪用されます。
また、ソフトウェア情報が取得された場合は、当該ソフトウェアの当該バージョンのセキュリティホールを悪用する攻撃を、メール経由等で仕掛け、ターゲットにウイルス感染させるなどして制御を奪います。

私たちができる対策

(1)まず手口を知る
手口を知ることでセキュリティ意識を向上させることができます。

(2)プロパティ情報から個人情報を削除する
特に文書ファイルを公開する場合は、公開前に文書のプロパティから個人情報を削除します。

以上を参考に、情報情報漏えいを失くし、ハッキングから身を守りましょう！