【ITニュース解説】在宅勤務の警察官が勤務を偽装する「キージャミング」を行っていたことが判明、Iキーが1万6000回押されたケースも

イギリスの複数の警察組織で、在宅勤務中の警察官や職員が、実際には業務に従事していないにもかかわらず、あたかも勤務しているかのように偽装する「キージャミング」と呼ばれる行為を行っていたというニュースが報じられた。これは、キーボードの特定のキーに重しを置いたり、繰り返し不自然に打鍵したりすることで、コンピューターがアクティブな状態を維持していると誤認させる手口だ。最も注目すべき事例として、ダラム警察では「I」キーが1万6000回以上も押された記録が確認され、関与した職員は辞職している。この問題は、リモートワークが普及する現代において、システムの監視と不正検知、そして倫理的な側面について深く考えさせる出来事と言える。

「キージャミング」のような行為がなぜ行われるのかを理解するためには、リモートワーク環境における勤務状況の把握方法を知る必要がある。多くの組織では、従業員の勤務状況を把握するために、コンピューターの利用状況を記録するシステムを導入している。これは、キーボードやマウスの操作記録、特定のアプリケーションの起動状況、画面のロック解除回数、ネットワークの通信量など、多岐にわたるデータが含まれる。これらのデータを分析することで、従業員がどの程度業務に集中しているか、あるいはコンピューターが放置されていないかなどを推測しようとする。キージャミングは、こうしたシステムの「コンピューターがアクティブである」という検知ロジックの隙を突いた行為だ。特定のキーを押し続けることで、システムは「キー入力が継続的に行われている＝作業中である」と判断してしまうのである。

このような不正行為は、個人の倫理的問題に留まらず、組織全体に深刻な影響を及ぼす。まず、勤務実態がないにもかかわらず給与が支払われることは、公金の不正受給に他ならない。警察という公共性の高い組織において、市民からの信頼を大きく損なう行為であることは明らかだ。また、本来果たすべき業務が放置され、組織の生産性低下やサービス品質の低下にも繋がりかねない。セキュリティの観点からも、勤務時間中にシステムがアクティブな状態を保っていることで、不正なアクセスや情報漏洩のリスクが増加する可能性も否定できない。

システムエンジニアを目指す皆さんにとって、このニュースは、システム開発や運用において「不正検知」という重要な側面を考える良い機会となる。キージャミングのような単純な手口であっても、それをいかにシステム的に検知し、防ぐかは大きな課題だ。単にキー入力の有無だけでなく、入力の「パターン」や「内容」を分析することが求められる。例えば、特定のキーだけが異常な回数押されている、一般的なタイピング速度やパターンと大きく異なる、マウス操作が全く伴わないのにキー入力だけがある、などの異常を検知するロジックを組むことが考えられる。

この検知には、高度なデータ分析技術が活用できる。大量のログデータから正常な業務パターンを機械学習で学習させ、そこから逸脱する異常な行動を特定する「ユーザー行動分析（User and Entity Behavior Analytics: UEBA）」のような技術は特に有効だ。UEBAは、普段のキーボード入力速度、使用するアプリケーション、ネットワークアクセスパターンなど、個々のユーザーの行動履歴をプロファイルとして蓄積し、そこから外れる行動をリアルタイムで検知する。例えば、通常であれば複数種のキーが使われるであろう状況で、特定の「I」キーだけが異常に連続して入力されている場合、これを異常と判断しアラートを発するようなシステムを構築できる。

しかし、このような従業員監視システムを導入する際には、プライバシーとのバランスが非常に重要となる。過度な監視は従業員の士気を低下させ、不必要なストレスを与える可能性があるため、どこまで監視を行うべきか、どのようなデータを収集すべきかについては、組織として明確なガイドラインを設け、従業員に十分に説明する必要がある。システムエンジニアは、単に技術的な実現可能性を追求するだけでなく、そのシステムが社会や人々に与える影響、倫理的な側面まで考慮した設計が求められる。

リモートワークが常態化する現代において、システムエンジニアは、物理的な距離があっても従業員が安心して業務に取り組める環境を構築し、同時に組織の健全性を保つための堅牢なシステムを設計する責任を負う。不正の発生を完全に防ぐことは難しいが、不正を検知し、発生を抑止するための技術的な対策を講じることは可能だ。今回のキージャミングの事例は、システム設計者がユーザーの多様な行動パターン、そして時には不正行為の可能性をも想定した上で、より高度な監視・検知メカニズムを実装する必要があることを示している。それは、単なるシステムの機能追加に留まらず、データ分析、機械学習、そして情報倫理といった幅広い知識と視点が必要となる領域だ。