ファイルやQRコードを開く前に、安全かどうかを確認するには？

サウジアラビア国家サイバーセキュリティ庁（NCA）のTahqaqサービスを使えば、御社のどの社員も、ファイルやQRコードを開く前にスキャンできるようになりました。このサービスは2025年12月29日にリンクのスキャンのみで始まり、2026年10月にNCAがファイルのスキャンとQRコードのスキャンを追加しました。リンクとQRコードはWhatsApp番号+966118136644に送り、ファイルはHaseenポータルにアップロードします。結果は即座に、しかも昼夜を問わず届きます。必要なのは、チームのためのひとつのルールです。予期していない添付ファイルを開いたり、見慣れないコードを読み取ったりする前に、必ず確認すること。ただし、結果はあくまでリスクの推定であって保証ではないこと、そしてファイルのスキャンはまだ試験段階であることを忘れないでください。

サービスの何が変わったのか？

サウジ通信社によると、NCAは出回っているリンクを人々がアクセスする前にスキャンするため、2025年12月29日にこのサービスを開始しました。2026年10月7日、世界サイバーセキュリティ啓発月間に合わせて、NCAは公式ニュースリリースで二つの新機能を発表しました。ファイルのスキャンと、QRコードとして知られるクイックレスポンスコードのスキャンです。このサービスは国家サイバーセキュリティサービスポータルであるHaseenの一部であり、NCAが技術部門であるサウジ情報技術会社（SITE）と提携して運営しています。

サービスの公式ページで多くの人が見落としている点は、二つのチャネルがスキャンする対象が同じではないということです。

チャネルスキャン対象利用方法
WhatsAppリンクとQRコード+966118136644
Haseenポータルリンク、ファイル、QRコードtahqaq.haseen.gov.sa

つまり、NCAのページによれば、ファイルのスキャンはHaseenポータルでしか利用できません。Tahqaq for Filesのサービスページには、チェックはサービスのエンジンによって自動で行われ、結果は即座に表示され、サービスはアラビア語と英語で24時間・週7日稼働し、書類は一切不要だと書かれています。同じページでは、ファイル向けサービスを「ベータ版」と表示しています。

なぜ御社にとって重要なのか？

企業でのセキュリティ侵害は、高度な攻撃ではなく、ひとりの社員のクリックから始まることがあります。知らない仕入れ先から届いたPDFの請求書、圧縮ファイルとして人事部に届く履歴書、添付ファイルを開くよう求める配送通知、あるいは店舗の本来の支払い用ステッカーの上に誰かが貼ったQRコードのステッカーなどです。NCAは発表の中で、新機能は日常の活動でファイルやQRコードの利用が増えていることに対応したものだと述べています。

QRコードには、通常のリンクより危険な面がひとつあります。書かれたリンクなら読むことができ、サイト名がおかしいと気づくこともありますが、コードの場合は読み取るまでどこにつながるのかわかりません。リンク先を開く前に確認することで、目では防げない隙をふさぐことができます。

チームでの使い方：五つのステップ

  • 正しい番号を保存する：WhatsApp番号+966118136644をNCA自身のページからコピーし、わかりやすい名前で社員のスマートフォンに保存します。メッセージで届いた番号は信用しないでください。詐欺師は政府のサービスになりすますからです。
  • リンクとコードはまずWhatsAppへ：メッセージ内のリンクをタップする前、あるいはステッカーや請求書、投稿にあるコードを読み取る前に、社員はそれをサービスの番号に送り、結果を待ちます。
  • ファイルはHaseenポータルへ：社員が予期していなかった添付ファイル、特に圧縮ファイル、実行ファイル、「コンテンツの有効化」を求める文書は、開く前にポータルにアップロードします。
  • 結果は判定ではなく推定として読む：NCAによると、ファイルのスキャンは脅威の「可能性」を評価するものです。結果が疑わしい場合、社員はファイルを削除し、担当者に知らせます。結果が問題なしでも、急ぎの支払い依頼やパスワードの要求など、メッセージ自体に不自然な点がある場合は、何かをする前に、すでに知っている番号で送信者に電話するべきです。
  • フィードバックを送る：このサービスでは分析結果についてフィードバックができます。間違っていると思う結果は報告し、社内でも事例を記録して、ほかのメンバーが自分たちに何が届いたのかを把握できるようにしましょう。

サービスの限界：カバーしていないこと

このサービスは便利ですが、御社の防御システムではありません。NCAはこれを、王国の国民と居住者を対象とした個人向けサービスに分類しています。次の三つの点を心に留めておいてください。

  • 基本的な防御の代わりにはならない：すべての端末のセキュリティソフト、システムのアップデート、メールフィルタリング、バックアップ、二段階認証は、引き続きすべて必要です。これらの基本は、当社の中小企業向けサイバーセキュリティガイドで確認できます。
  • スキャンするのは疑わしいものであって、自社の文書ではない：このサービスは受け取った不審なファイルを確認するためのものであり、契約書や給与明細、顧客データをアップロードするためのものではありません。機密データを含むファイルを、必要もないのに外部のスキャンツールにアップロードしないでください。
  • 組織向けには別のサービスがある：NCAは組織向けサービスとしてFiles Examination Servicesというサービスを掲載しています。これはWindows 7やWindows 10を含む隔離された環境でファイルを検査し、5分以内に完全な技術レポートを発行するもので、ファイルとレポートの機密性が保証されています。自社の組織が対象となるかどうかは、Haseenポータルで確認してください。

自社のウェブサイトやアプリが顧客からファイルを受け付けている場合

このサービスが守るのは、手作業でファイルを開く社員です。しかし、御社のウェブサイト、アプリ、採用システムが、履歴書、身分証明書の写真、請求書、苦情の添付ファイルなど、顧客や応募者からのファイルを受け付けているなら、何百ものファイルを手作業で確認する人はいません。その場合、スキャンはシステム自体に組み込む必要があります。許可するファイル形式の明確なリスト、最大サイズ、保存前の自動スキャン、そしてアップロードされたファイルをアプリケーションのメインサーバーとは別に保管するストレージです。

これは、Origamiが新しいシステムを構築するときや既存のシステムを開発するときに見直している点です。御社のシステムが現在どのようにファイルを受け付けているかを確認してほしい場合は、お気軽にお問い合わせください。

出典