CISAよりモバイル通信を保護するためのガイダンスが公開されました。
このガイダンスに従うことでモバイル通信におけるセキュリティが大幅に強化されます。
1. エンドツーエンドの暗号化通信を使用する
LINEなどの無料メッセージングアプリケーションを利用し、エンドツーエンドの暗号化による安全な通信を確保してください。
LINEでは「レターシーリング」という機能で提供されていて、各チャットの上部「三」をタップした際の、最下部[このトークルームではLetter Sealingが適用されています]という記述により確認できます。
2. FIDO認証を利用する
FIDO認証はパスワードを使わず指紋などの生体情報で認証を行う仕組みです。
電子メールやソーシャルメディアを含む、価値のあるアカウントについて見直しをしてみてください。
特にMicrosoft、Apple、Googleアカウントなどは見直し、FIDOベースの認証に変更する価値があります。
そして安全性の低い認証方法は無効にしてください。
3. SMS認証からの移行を検討する
可能であればSMS（ショートメッセージサービス）ベースの認証からの移行を検討してください。
SMSメッセージは暗号化されておらず、メッセージを傍受された場合、読み取ることができます。
スパム耐性がなく、強力な認証とはなりません。
価値の低いアカウントについては、Google Authenticator、Microsoft Authenticator、Authyなどの無料の認証アプリケーションを利用してください。
なお、これらの登録後は、SMS認証を無効にしてください。
4. パスワードマネージャーを使用する
Apple Passwordsアプリ、LastPass、1Password、Google Password Manager、Proton Passなどの一部のパスワードマネージャーは、弱い、再使用された、または漏洩したパスワードを自動的に警告してくれます。
さらに、これらのパスワードマネージャーの一部は認証コードの生成も行なってくれます。
また、パスワードは強力なパスフレーズ（長く、一意で、ランダムなもの）で保護してください。
既存のパスワードを確認し、長く、一意で、ランダムであることを確認してください。
そうでない場合は、パスワードマネージャーが生成したパスワードに変更してください。
5. 通信事業者のPINを設定する
ほとんどの通信事業者は、携帯電話アカウントに追加のPINまたはパスコードを設定する機能を提供しています。
このPINは、アカウントへのログインや、電話番号のポーティングなどの機密性の高い操作を完了する際に必要となります。
これはSIMカードを乗っ取るSIMスワッピング手法に対抗する重要なステップです。
6. ソフトウェアを定期的に更新する
モバイル機器のオペレーティングシステムとアプリケーションを定期的に更新してください。
機器が最新の状態であることを週に1回確認してください。
オペレーティングシステムとアプリケーションのタイムリーなパッチ適用を確実にするため、モバイル機器の自動更新を有効にしてください。
7. 携帯電話メーカーの最新のハードウェアバージョンを選択してください
新しいハードウェアには、古いハードウェアではサポートできない重要なセキュリティ機能が組み込まれていることがよくあります。
最新バージョンのハードウェアがない場合、ソフトウェアの更新だけでは利用可能な最大のセキュリティ上の利点を得ることはできません。
8. 個人用のVPNを使用しないでください
個人用バーチャルプライベートネットワーク(VPN)は、単にインターネットサービスプロバイダー（ISP）からVPNプロバイダーにリスクを移行するだけで、多くの場合攻撃対象領域を増やすことになります。
多くの無料および商用VPNプロバイダーは、セキュリティとプライバシーポリシーに問題があります。
ただし、個人ではなく組織がデータにアクセスするためにVPNクライアントを要求している場合は、これは異なるユースケースとなります。
他、iPhoneやAndroid端末における固有の対策もあります。
以下よりご覧ください。
https://www.cisa.gov/sites/default/files/2024-12/guidance-mobile-communications-best-practices.pdf