最近メタバースという言葉がはやってきており、気になり始めている方がこのサイトの閲覧者で多いのではないでしょうか。

「メタバースを使ってイベントをしてみたい！」と考えている方の中でやはり気になる点がセキュリティの面だと思います。

メタバースはここ数年ではやり始めた技術であり、セキュリティ面でまだまだ不安定な部分が多いです。

今回の記事では、メタバースのセキュリティリスクについて解説していきたいと思います！

|メタバースとは？

まずそもそもメタバースとは何でしょうか。実はまだはっきりとした定義はないんです。

「メタバース」という言葉はアメリカのSF作家であるニール・スティーブンソンのSF小説「スノウ・クラッシュ」に登場した言葉です。

作中では「インターネット上の仮想世界」の意味で使われており、そこから転じて、「アバターを介して人々が交流し、さまざまなサービスやエンターテインメントが体験できるオンライン空間」を指すようになりました。

ここまで聞いて、もしかしたら「仮想空間ならVRゴーグルが必要じゃないか！」と思われた方もいらっしゃるかもしれません。

しかし、多くのサービスはVRゴーグルがなくてもPCやスマートフォンなど手持ちのデバイスから気軽にアクセスができます。そのため、あまりデジタルになじみのない方でも簡単に参加できます。

近年ではそういった特徴からビジネス分野からも注目をあびており、徐々にメタバースがさまざまな手法で取り入れられています。

メタバースについて詳しく知りたい方は、こちらの記事をご覧ください。

メタバースのはじめかたは簡単！登録の手順やおすすめのアプリを紹介

日本の大手企業がメタバースに続々参入！期待されるこれからのビジネスとは

|メタバースにおける考えられる脅威

メタバースにおける脅威を考える上で、脅威モデリング手法であるSTIRDEを使用します。

STIRDEはマイクロソフト社によって提唱された脅威導出の方法で、サービスにどのような脅威が考えられるかを次の6つの観点で網羅的に分析できます。

①Spoofing：なりすまし。正規の利用者に悪意のある攻撃者がなりすます。

②Tampering：改ざん。データの悪意ある書き換え

③Repudiation：否認。攻撃の証拠を隠蔽し身元を隠す

④Information disclosure：情報漏洩。秘匿すべき情報が窃取または公開される

⑤Denial of service：サービス拒否攻撃。サービスを止めてしまい使えなくする

⑥Elevation of privilege：権限昇格。管理者の権限を不正に奪い悪用する

これらの6つの脅威カテゴリーの頭文字をとり、STRIDEとされています。

今回は、簡易的にVRメタバースで起こり得る脅威についてSTRIDEの観点で考えていきます。

Spoofing：なりすまし

VRメタバースにおいてのなりすましは、悪意のある攻撃者が正規の利用者になりすますことを指し、このなりすましにより、記録や情報を盗み出される情報漏えいだけでなく、勝手にコミュニケーションがとられるなどの被害が発生し、本人の知らないこところで信頼が失われる可能性があります。

攻撃者は下記のような手順でプレイヤーになりすましを行うと考えられます。

認証情報（IDやパスワード）の窃取

攻撃者はまず、VRメタバースに接続するためのIDやパスワードを狙います。方法としては、VRメタバースサービス運営者を騙ったフィッシングによる窃取や、辞書型やリスト型攻撃による不正ログインなどが考えられ、それに対し、サービス側では多要素認証の導入、プレイヤー側は他のサイトとのパスワードの使いまわしをしないなどの対策が有効です。

ID・パスワードに紐づいてアバターモデルやデータやワールドデータも登録されているため、ID・パスワードの管理は厳重に行う必要があります。

アバターモデルの窃取

VRメタバース上で使用されているアバターモデルは、現実のファッション同様に自分自身の姿を個性的にカスタマイズでき、プレイヤーの人格を認識するうえで重要な要素です。その人個人のアバターモデルが他人に悪用されてしまうと、他のプレイヤーから視覚的に見分ける方法はないです。

一般的なVRメタバースサービスでは、アバターデータやワールドデータはほかのプレイヤーの端末にもキャッシュデータとしてダウンロードされます。また、接続時にはメモリ上にも展開されています。

これらの脅威には、サーバやクライアントアプリを含めたサービス提供側でのデータの抽出や解読を困難にする仕組みの導入などの対策が求められています。またサーバ上に保存されているデータについても暗号化や権限管理による制限が必要です。

他人を装ったプレイヤー

アバターデータの窃取と同様に、他人を装ったプレイヤーの存在も脅威と考えられます。

VR空間では存在を、アバター・声・しぐさ・名前といった現実よりも限られた情報で認識しなければなりません。他人のアバターを窃取や再現し、声や動きを合成音声やしぐさの解析によって再現できてしまえば、その人をVRメタバース内でのみ知っている人にとっては本人との識別は難しいものとなります。

そのため、VRメタバースを通してプレイヤーに提供するサービスを考える際は、これらのなりすましを前提とした本人確認の仕組みを考える必要があります。

Tampering：改ざん

VRメタバースではプレイヤーが作成したアバターやワールドのデータを、サービスを通して共有できる仕組みを備えています。

攻撃者による改ざんは、制作したプレイヤーの意図とは異なる動作により、他のプレイヤーへの被害を生む可能性があります。改ざんの例を二つ解説していきたいと思います。

ワールドデータの改ざん

ワールドデータの改ざんにおいて問題となるのが、VRヘッドセットを使用するVRメタバース内で、不快な画像や映像、神経を過敏に反応させる危険な演出（極端な色の変化や高速な光の点滅など）をプレイヤーの視界全体に表示させる嫌がらせです。

これらは心理的・精神的な悪影響だけでなく、嘔吐や倦怠感などの身体的な被害を生じさせる場合があり、最悪の場合重大な症状のきっかけとなる恐れがあります。

なので、プレイヤーのアバターモデルの場合と同様に、サービス提供側でのワールドデータの保護が必要となります。

プロフィール情報の改ざん

メタバースでは、オンラインゲームと同様に信頼度をスコア化した信頼度レベルシステムを搭載しているサービスもあります。

信頼度レベルはプレイ時間やVRメタバース内でのソーシャルな繋がりといったアクティビティの積み重ねにより上昇されるように設定されており、その信頼度レベルに応じてプレイヤーは独自のアバターのアップロードやワールドデータの共有が許可されるといったような具合で活用されています。

これらの値の改ざんにより、作り立てのアカウントでも他のプレイヤーに被害をもたらすようなワールドデータの共有が可能になる恐れがあります。

Repudiation：否認

否認とは、サービス上での操作履歴などの隠滅により不正行為の証拠をなくし、攻撃者を特定できなくする脅威です。過去の情報から攻撃者の特定ができなくなるため、対処が非常に困難になります。

具体的な脅威として、サービス内に保存されている行動履歴の改ざん、操作ログの改ざん、メッセージの改ざんなどによる否認が考えられます。

Information disclosure：情報漏洩

情報漏洩とは、情報を保持すべき当事者以外の第三者が不正に情報を入手する脅威です。

具体的に下記の二つの脅威が考えられます。

VR空間内での盗聴・盗撮

現実世界と同様にVR空間でも盗聴・盗撮の危険があります。デジタルな世界であるVR空間では原理上「見えない」アバターの存在が可能です。

また、メタバース空間では、1つのワールドデータを基にして同時に複数の世界が生成することができます。

例えば、満員になっている仮想空間にアクセスするために、もう1つの自分たちしかアクセスできない仮想空間を生成して、その空間内で遊べるような仕組みです。このような仕組みはワールドのインスタンス化と呼ばれています。

このようなプライベート用に生成された空間では、守秘義務が課されるような会話が行われている可能性が高いです。しかし、この空間に第三者がアクセスできてしまった場合、見えないアバターを通して発言や行動が盗聴・盗撮される危険性があります。

サービス提供側はインスタンスの権限管理を行い、プレイヤー側は接続に必要なインスタンスIDやパスワードなどの取り扱いに注意する必要があります。

空間に仕掛けられた盗聴器や盗撮カメラ

ワールドの仕組みを悪用し、そのワールドに訪問したプレイヤーの行動や発言を記録される可能性が考えられます。

盗聴器や隠しカメラと同じように、ワールドデータ内に仕込まれた音声や画像を記録する仕組みにより、そのワールド内でのプレイヤー同士の会話や出来事が、知らいない間に録音・撮影され第三者に送信されている可能性があります。

このような機能の悪用を防ぐためには、サービス側でワールドを作成する機能に対して通信策の制限や使用可能な機能の制限などを適切に行う必要があります。

Denial of service：サービス拒否攻撃

サービス拒否攻撃というのは、いわゆるDoS攻撃とも呼ばれるもので、コンピュータの負荷を上昇させ、サービスの提供を不可能にする脅威です。

ワールドやアバターが自由に開発できるVRメタバースにおいて、プレイヤーが仮想空間への接続に使用しているVR機器やパソコンに対するDoS攻撃が考えられます。

例えば、表示させた瞬間にパソコンがクラッシュするアバターや、接続した瞬間に高付加で表示が止まってしまうようなワールドなど、プレイヤーが製作可能な機能を悪用した攻撃は実際に既存のVRメタバースでも問題となり様々な手段で対策が行われてきました。

アバターやワールドの表示や処理不可に対するレギュレーションを設定し、アップロード時に検査するなどの処置が必要です。

Elevation of privileg：権限昇格

権限昇格とは、一般のプレイヤーのアカウントを不正な方法によって管理者に昇格し、通常では使用できない管理機能の使用を可能にする脅威です。

具体的に考えられる脅威はプロフィール改ざんによる管理者権限の取得です。

サービスの使用によっては、ユーザプロフィールへのフラグ設定などを改ざんし、管理者機能を有効にする攻撃が考えられます。

|メタバースでセキュリティ被害に遭わないための対策2つ【個人向け】

個人の方がメタバースを利用する際に、必要なセキュリティ被害にあわないための対策を紹介します。

主な対策は以下の２つがあります。

１．ログイン時のID・パスワードを強固なものにしておく

２．二段階認証などは、極力設定しておく

この2つについてこれから解説していきます。

ログインID・パスワードは強固なものにする

セキュリティ被害をメタバースで遭わないようにするために、ログインする際のIDやパスワードは強固なものにしましょう。

具体的には以下の点を踏まえて、パスワードを決めましょう。

・パスワードの文字列は長めに設定する（12文字以上）

・小文字だけでなく、大文字や記号も含める

・誕生日は避ける

・英数字はABCDE、12345など単純な順番にしない

・ほかのサービスで使用しているパスワードは使わない

攻撃者がパスワードを解読する際、可能な組み合わせをすべて試して、ログインする手口があります。なので、もし文字列の長いパスワードを設定していれば、その分解読に時間がかかり、セキュリティ被害に遭う確率が下がります。

また、誕生日のような個人情報を基にしたパスワードを設定すると、セキュリティ被害に遭うリスクが高くなるため、ログインIDやパスワードを設定する際は、慎重に決める必要があります。

二段階認証を設定

セキュリティを強固にするための２つ目の対策は、二段階認証です。

二段階認証とは、認証作業を2回に分ける方法です。2回とも正しい情報を入力しなければログインできないため、セキュリティを強固にすることが可能です。

二段階認証には、主に以下の2種類があります。

・ログインIDとパスワードを２回入力させる

・トークンやSMSなど異なる方法でログインさせる

特に後者に関しては、ログインIDとパスワード以外の認証作業が必要となるため、よりセキュリティが強固になります。

メタバースに登録する際は、すぐに設定を済ませておきましょう。

|メタバースでセキュリティ被害に遭わないための対策4つ【事業者向け】

こちらの記事を読んでいる方でメタバースへの参入を考えている事業者もいると思います。

事業者としてメタバースを利用するときは、利用者に安心してサービスを利用してもらうために、下記の４つの対策があります。

1.　 IPアドレス制限を追加する

2.　 多要素認証をつける

3.　eKYCサービスを導入する

4.　不正アクセス検知システムを導入する

なりすまし被害などに遭うと、顧客や取引先からの信用を失いかねないので、しっかり対策を行う必要があります。

IPアドレス制限を追加する

なりすましをしようとする第三者は、オフィスの外部から不正ログインを試みようとするため、IPアドレスを制限する方法は有効です。

しかし、メタバースのアカウントや運営ページへのアクセスを自社のIPアドレスのみに制限すれば、外部からアクセスできません。

ページにアクセスできない以上、セキュリティ被害のリスクを大幅に減らせます。さらに、リモートワークにも対応しているので、安心です。

ただし、すべてのサービスにIPアドレスを入れるのは、時間や費用の面から難しいといえます。

多要素認証をつける

近年、不正の手口は巧妙化しており、IDやパスワードの入力だけでは、セキュリティを突破される可能性があります。

そこで必要な対策が多要素認証です。多要素認証とは下記のように複数の認証機能を組み合わせた方法を指します。

知的情報

例：パスコード、PINコード、秘密の質問

所持情報

例：SMS認証、ハードウェアトークン

生体情報

例：指紋認証、静脈認証、声紋認証、位置情報

この方法は多くの企業で導入されている対策で、認証方法が複数あるため、IDとパスワードが流出しても、不正ログインされるリスクを抑えることができます。

eKYCサービスを導入する

eKYCサービスとは、スマホやパソコンなどオンライン上で本人確認を完了できる方法です。eKYCでは、「写真付きの本人確認書類の準備」や「利用者本人の要望をその場で撮影」をしなければなりません。

さらに利用者本人の写真を撮影する際、目を動かしたり横を向いたりなどの動作も求めます。事前に撮影した写真も使えないため、セキュリティ被害を防げる可能性が上がります。

不正アクセス検知システムを導入する

ここで紹介してきた３つの方法で、セキュリティ被害を防ぐ対策自体はできます。しかし、ログインのたびに本人確認を厳重に行っていては、一般の利用者（不正者以外の人）からすると利便性がよくなく、メタバース空間に入る前に離脱してしまう可能性が高くなります。

この時に最適なものが、不正アクセス検知システムです。

不正アクセス検知システムはメタバースのセキュリティ被害を防ぐのに有効で、これを使用すれば、すべてのユーザーではなく不正の疑いがあるユーザーにのみ多要素認証やeKYCを実施できます。

また、以下のような不正行為を事前に検知することも可能です。

・機会による不正ログイン

・人為的ななりすましログイン

・同一人物による複数アカウントの登録

さらに、システムが自動的に検知作業を行うので、従業員の負担もかかりません。

|まとめ

ここまで、メタバースにおけるセキュリティ被害の5種類とその対策について紹介させていただきましたが、いかがだったでしょうか。

メタバースというものはビジネスやエンタメの面で様々な活用方法があり非常に可能性のある分野である反面、新しい技術でセキュリティ被害に遭うリスクも高いものです。

そのため、皆が安心してメタバースを利用できるようにしていくために、個人もメタバースサービスの事業者もセキュリティ被害への対策についてこれからもしっかり学んでいきましょう！