顧客から廃棄依頼の有ったハードディスクを従業員が不正に販売していたことで、ブロードリンク社が再発防止策を発表した。しかし、この再発防止策のPDFファイルの黒塗り部分が、ファイル変換ツールで取り外せると話題になった。

■何が起きたか?

　2019年12月9日、ブロードリンク社が従業員による不正行為に対する再発防止策を発表。しかし、この再発防止策の一部にID、氏名と記載された黒塗り部分があり、この黒塗り部分がファイル変換ツール等を利用することで取り外せると話題になった。

　ワード等で「図形」を塗りつぶして、見せたくない文書の上に「図形」を置き、PDFに変換し「黒塗りした」と思っていても、ファイル変換ツール等で元のファイルに戻すと、その図形部分を取り除くことが出来てしまうことがある。

　今回、ブロードリンク社の再発防止対策のPDFファイルで、この事象が発生し、黒塗り部分が取り外せると指摘されていた。

　なお、この黒塗り部分には、PDFファイルのプロパティに記載されている人物の名前が記載されているため、ダミーデータと推測される。そのため黒塗り部分が取り外せたとしても閲覧されて害の有るデータでは無かったかもしれない。しかし、これだけ大きなセキュリテイ事故を発生させた企業の再発防止策のPDFファイルで、このようなミスが見つかったこと自体が大きな反響を読んでいる。

■PDFファイル作成にiLovePDFが利用されていた?

　この再発防止策のPDFファイルは黒塗りが外せるだけでなく、iLovePDFというファイル変換ツールを利用していたのではないか?という点でも話題を集めている。同PDFのファイルのプロパティをAcrobat Readerで確認すると、「PDF変換 www.ilovepdf.com」と記載されている。これは通常PDFファイルを作成する際に、iLovePDFで作成するとこのように記載される。

■iLovePDFとは?

　iLovePDFとは、ワードやパワーポイントで作成したファイルをPDFに変換したり、その逆の処理をする時に利用されるファイル変換サービスである。便利なため、人気のあるサービスである。

　しかし、企業内で利用する場合には、セキュリティリスクを懸念されることも多いサービスでもある。筆者が普段クラウドサービスの安全性評価に利用しているマカフィー社のCASBにてiLovePDFを調査すると、ハイリスクで有ると表示される。ハイリスクである主要な見解として、保存されているデータの暗号化がされていない点、ISO27017等の情報システムのセキュリティマネジメントシステムの各種認証規格を取得しているかどうか不明な点が挙げられる。

　iLovePDFを利用する際には、変換対象とするワードファイル等を一旦iLovePDFにアップロードし、ファイルを変換する必要が有るのだが、CASBの診断結果から推測すると、このアップロードされたデータがどのように保管され、情報漏洩しないように安全に管理されているかが不明ということでなのだ。

　iLovePDFは無料で使える便利なサービスであるが、そのアップロードされたデータがどのような安全基準に従って管理されているかわからないのである。変換対象のファイルは削除されているのか?第三者に提供されていないか?等、アップロードしたファイルがどのように管理されているのか不明であるということだ。

■iLovePDFは日常的に利用されていたのか?

　ネット上では、今回のブロードリンク社の再発防止対策の黒塗りが取り外し可能であること、iLovePDFで作成されていたと推測出来る点等が指摘されていた。もし、同社が日常的にPDFを作成する時にiLovePDFを利用していたとなれば、この点についても情報セキュリティに課題を抱えていることになる。

　前述したように、iLovePDFを利用する際には、一旦ファイルそのものがiLovePDFにアップロードされ、そのデータの保管状況は外部からは把握することが出来ないのである。

　ブロードリンク社は、ハードディスク廃棄等の機密性の高い業務を請け負う立場の企業である。こういった企業への依頼事項そのものが機密性の高い情報として取り扱うべきと考えられるが、もし、この顧客との間で交わされる各種契約書や依頼書等の変換にiLovePDFで変換されていたとしたら、そういった各書類がiLovePDF側でどのように管理されているか不明ということである。そもそも、iLovePDFにデータをアップロードするという行為自体、顧客が認識していない可能性もある。

　従業員の不正行為が発覚し、情報セキュリティ管理体制に厳しい視線が集まっている同社。その再発防止策として掲載したファイルが更に同社の情報セキュリティ管理体制に対して疑念を集める結果となってしまった。

■他人事と笑っていられないiLovePDFの利用状況

　筆者の経験上では、iLovePDFは大半の企業で検出されるシャドーITの一種である。ブロードリンク社の件を他人事と思っていても、実は自社でも多用されている可能性はゼロではない。

　安全に利用すればiLovePDFは便利なツールである。やみくもに利用を禁止するだけでなく、安全な利用の仕方を利用者に啓発することも大切だ。今回のブロードリンク社の件を参考に、iLovePDFの利用者は以下の点を心がける必要があるだろう。

　1)　重要な文書のPDF作成にiLovePDFは利用しない。

　2)　パワーポイント等の図形を貼り付けて「黒塗り」したつもりにならない。

　　　黒塗りする場合には、ペイント等で画像レベルで塗りつぶす。

　また、システム管理者の立場からはiLovePDfの利用状況を把握し、利用者が多数居る場合には、利用上のリスクや安全な利用を呼びかける等の対策が必要だろう。