トレンドマイクロは4月15日、公式ブログで「安全なテレワークのために：『Zoom』のリスクとセキュリティを理解する」と題する記事を公開しました。新型コロナウイルス（COVID-19）の流行にともない注目を集める「Zoom」のセキュリティリスクについて解説した内容です。

「Zoom」は米Zoom Video Communications社が提供するビデオ会議サービスですが、今年に入り利用者が2億人を突破するなど、利用が急拡大しています。一方で、さまざまなセキュリティ上の問題を抱えており、独立行政法人情報処理推進機構（IPA）もすでに注意を呼びかけています。今回トレンドマイクロは、「Zoom Bombing」、脆弱性、フィッシングという3つの問題点を紹介しています。

「Zoom Bombing（ズーム爆弾、ズーム爆撃）」は、Zoom会議に招かれていない第三者が勝手に会議に参加し嫌がらせをする迷惑行為の総称です。単なる嫌がらせ行為だけではなく、潜伏してZoom会議の内容を盗み聞きして情報漏えいさせる、参考資料などに偽装したマルウェアを他の参加者に送付するなど、より悪質な行為も可能です。これは、開催者が会議に対してパスワードを設定していない場合、ミーティングIDがわかれば誰でも会議に参加できるZoomの仕様に問題があるためです。

またZoomの利用時には、Windows、Macともにクライアントソフトを導入する必要がありますが、これらソフトにさまざまな脆弱性が残っていたことが発覚しています。たとえばWindows版の脆弱性を悪用された場合には、第三者が認証情報を盗んだり、任意のプログラムを実行させたりすることが可能でした。Zoomは脆弱性に対処した最新バージョンを随時公開しています。

そしてZoomが注目を集めたことで、これに便乗するネット詐欺も登場しつつあります。たとえば、2020年頭からこれまでに“zoom”の文字列を含む新ドメインが3,300も確認されており、そのうちの7割近くが3月中に作成されたものだとの報道がありました。これらの新ドメインがすべて不正目的で作成されたとは言えませんが、サイバー犯罪者が、情報詐取を目的に準備している可能性が考えられます。すでに、パスワードを含むZoomアカウント情報がダークウェブ上で2,000件以上公開されていた、との報道もあります。

法人でも個人でも、Zoomの利用者はリスクを避けるため、以下を心がけてください。

・常に最新バージョンのZoomを公式サイトから入手する。
・Zoom会議のURLが正規のものかよく確認し、安易にクリックしない。
・フィッシングなど、最新の攻撃手口を知り、騙されないよう注意する。

特に法人利用者においては、Zoom会議をよりセキュアなものにするために、以下の設定を再確認してください。

・会議には必ずパスワードを設定し、URLやパスワードは適切な参加者のみに教える。
・画面共有を「ホストのみ」に設定する。

また、状況によっては以下の運用も考慮してください。

・ミーティングIDを毎回自動的に生成する。
・「ファイル転送」を無効にする。
・参加者が会議に出入りしたときに音を鳴らし、気付けるようにする。
・「待機室」の機能を使い、承認したユーザのみが参加できるようにする。
・Zoomにログインしている認証されたユーザのみが参加できる設定する。
・参加予定者が集まり会議が開始したらロックし、想定外の参加者が入れないようにする。

• サイバー攻撃
• 社会人のセキュリティ心得
• 家庭内のネットセキュリティ
• いまどきのネット犯罪