正解：イ
各選択肢の解説
ア感染したPCを使って、ログインしていたサービスのパスワードをすぐに変更する。
誤り。変更を急ぐ姿勢は正しいのですが、感染したPCで新しいパスワードを入力すると、 そのキー入力もキーロガーに記録されます。変えたはずの新しいパスワードまで 攻撃者に渡ってしまうので、変更に使う端末を選ぶ必要があります。
イ感染したPCを隔離し、別の安全な端末から、入力していたパスワードを変更する。
正解。キーロガーは入力そのものを記録するので、感染期間に入力したパスワードは漏れたと 考えます。記録されない別の端末から変更すれば、新しいパスワードは攻撃者に渡りません。
ウ通信はHTTPSで暗号化されていたので、パスワードは変更せずに様子を見る。
誤り。HTTPSが守るのは、送信された後の通信経路での盗聴です。キーロガーは 暗号化される前、キーボードから入力された時点でPCの中で記録するので、 通信の暗号化では防げません。
エマルウェア対策ソフトで駆除できたことを確認すれば、パスワードは変更しない。
誤り。駆除で止まるのは、これから先の記録です。感染していた期間に記録された パスワードは、すでに攻撃者に送られているおそれがあり、駆除しても取り戻せません。 駆除と、漏れた資格情報の無効化は別の作業です。
理解を深めるために
鍵を盗まれたら、錠前ごと替える
キーロガーは、キーボードから入力された文字を記録して攻撃者に送る不正プログラムです。 合鍵を作られた家で泥棒を追い出しても、合鍵は相手の手元に残ります。 同じように、感染期間に入力したパスワードは、もう漏れたものとして扱うのが出発点です。
なぜ「どの端末で変えるか」が問題になるのか
- キーロガーは、入力された時点でPCの中で記録する
- 感染したPCで新しいパスワードを入力すれば、それも記録される
- 駆除や通信の暗号化では、すでに記録された分は取り戻せない
そこで、感染したPCはネットワークから切り離し、パスワードの変更は 感染していない別の端末から行います。同じパスワードをほかのサービスでも使っていた場合は、 そちらも変更の対象です。社内システムの管理者には、感染期間にそのアカウントで 不審なログインがなかったかを確認してもらいます。
混同しやすい対応との違い
| 対応 | 何が守れて、何が残るか |
|---|---|
| 別の安全な端末から変更 | 漏れたパスワードを無効にし、新しいものは漏れない |
| 感染したPCで変更 | 新しいパスワードも記録され、攻撃者に渡る |
| HTTPSを理由に変更しない | 経路の盗聴は防げても、入力時点の記録は防げない |
| 駆除だけで変更しない | 今後の記録は止まるが、漏れた分は使われうる |
キーロガーの被害は「入力したもの」に及びます。止める（駆除・隔離）と、 漏れた分を無効にする（安全な端末での変更）を、両方そろえて考えます。