ＩｏＴ機器で便利な世の中・・・しかし、セキュリティーを意識してますか？！

一昨日、ＩｏＴ機器の脅威の話を書きましたが、

これからの便利な世の中を生き抜いていくためにも、

決して他人事ではない状態を皆が認識しておかなくてはならないと思います。

ということで、本日は少々長い記事ですが紹介したいと思います。

～以下、3月23日読売新聞朝刊より抜粋～

　すべてがインターネットでつながる社会。それは便利であると同時に、世界中のあらゆる脅威と隣り合わせに暮らすことでもある。モノのインターネットといわれるＩｏＴ※機器が急増しているが、十分なセキュリティーを確保できなければ、サイバー攻撃の道具を世界中にばらまくのと同じだ。どう対処すべきなのか。

　ネットワークカメラやビデオレコーダー、駐車場管理システムに電力監視システム――。身近で便利な機器ばかりだが、ネットを通じて誰かを攻撃しているかもしれない、と聞いたら驚くだろうか。

　横浜国立大の吉岡克成准教授らは昨年4月、サイバー攻撃の囮おとり用に148のＩＰアドレス(インターネット上の住所)を用意し、飛んでくる攻撃を4か月間にわたり調べた。

ＩＰ電話、カメラ… 狙われるＩｏＴ機器

サイバー攻撃

自宅の家電も

なぜ狙われるのか。それは作る、売る、使う側のそれぞれが、モノがネットにつながるリスクにあまりにも無防備だからではないか。

セキュリティー意識乏しく

　例えば、古い通信方式「Ｔｅｌｎｅｔテルネット」が使用可能な状態で販売される機器は少なくない。テルネットは暗号化されていないなどセキュリティー上問題があり、最近はあまり使われなくなったが、その使用の容易さから今も組み込み機器の開発などに使われている。それでも、吉岡氏は「出荷の際、使えないようにプログラムを停止すれば済むだけなのに」と指摘、ネット上で悪用されたらどうなるか想定していないことが元凶ともいえる。

　ＩＤ・パスワードの設定も、誰でも推測できるような単純な初期設定をそのまま使えば、攻撃者にとって玄関の鍵はないも同然。吉岡氏は「設定変更の必要性を利用者に伝える工夫や、設定を変更しないと使用できない仕組みを考える必要がある」と話す。剥がさないと使えない場所にシールを貼り、そこに「設定変更を」と書いておくのも一案だろう。

　ソフトウェアのアップデート(更新)にも課題がある。ソフトは発売後にセキュリティー上の欠陥が明らかになることがよくあり、パソコンでは常に修正のアップデートが行われる。だがＩｏＴ機器もアップデートが必要だと意識している利用者はどれだけいるだろうか。また、たとえ必要だと思っても、利用者用の管理画面がついている機器は少なく、アップデートの手順が難しかったり、そもそも不可能だったりする製品も多い。しかも、ソフトは世に出てから時間がたてばたつほど欠陥が広く知られ、狙われやすくなるが、ＩｏＴ機器の使用期間はパソコンよりずっと長い。自動的なアップデートを可能にする機能を付けるなど、発売後も継続してサポートできる仕組みが必要だろう。

　現在、総務省と経済産業省は、こうしたＩｏＴ機器のセキュリティーガイドライン作りを急いでいる。担当者は「これまでの家電ビジネスはネットの向こうから来るリスクについて意識する必要はなかったが、時代は変わった」とし、「製造や販売や運用など様々な立場から、セキュリティーに配慮した多層的な対策を示したい」と話す。

この結果、ＩｏＴ機器を標的にした攻撃が90万回も観測されたという。これらの攻撃の発信元15万アドレスを調べると、少なくとも3割弱の4万台はＩｏＴ機器であることが確認できた。

※

ＩｏＴ　Internet of Thingsの略。モノに通信機能を持たせ遠隔計測や自動制御などを行う仕組み。一人暮らしの親をカメラで見守ったり、出先からエアコンの温度を調整したり、製品の使用情報を商品開発や在庫管理に役立てたりと様々。自動運転車や生活支援ロボットの実現も期待される。

ウイルス感染 気付かず加担

機器の種類は361種類。前述のカメラなどのほか、ＩＰ電話、ルーター、指紋スキャナー、ビル管理システムも。「これらはウイルスに感染し、攻撃者に乗っ取られたいわゆる『ゾンビ』機器で、ほかのＩｏＴ機器を攻撃して仲間にし、増殖しようとしている」と吉岡氏は見る。乗っ取られても聞き本来の機能はそのまま使え、利用者が気付かないまま攻撃に加担している可能性もある。

　これまでパソコンやサーバーが標的というイメージが強かったサイバー攻撃だが、国立研究開発法人「情報通信研究機構」の調査でも、一昨年からＩｏＴ機器への攻撃急増が確認されている。同機構は28万もの囮アドレスで国内の攻撃を観測しているが、1アドレスに対する年間攻撃件数は2013年に6万3655件だったのが、14年はほぼ倍の11万5323件、さらに15年は21万3523件に増えた。「全体を押し上げているのがＩｏＴ機器を狙った攻撃。昨年は全攻撃の4分の1がＩｏＴ機器対象だった」と笠間貴弘研究員はいう。

　　　■ 大量にゾンビ化

　攻撃者の狙いは何か。攻撃の多くは、機器を遠隔操作ウイルスに感染させようというものだ。自分の意のまま操ることが出来る「ゾンビ」機器をたくさん作れば、例えば、大量の通信を一斉に送りつけてサーバーなどをダウンさせる

ＤＤｏＳディードス攻撃などに悪用することが出来る。笠間市は「最近、ＤＤｏＳ攻撃の威力がどんどん大きくなり、防ぐのが難しくなってきているが、大量のＩｏＴ機器をゾンビ化していることも一因ではないか」と分析する。

　このほか、吉岡氏が観測した例では、有料テレビの視聴システムからＩＤパスワード情報を盗み出そうとする攻撃もあった。これがあれば、他人に成りすまして有料番組を視聴できる。ネットの闇市場では、すでにこうした認証情報が大量に売買されている。

　ＩｏＴ機器は情報の宝庫、攻撃者には垂涎すいぜんの的だ。例えば誰かの家や企業に設置されたカメラを乗っ取れば、そこに映るあらゆる映像を盗み見ることも可能。複合機を乗っ取れば、スキャンした情報を盗み出すことも出来る。ルーターを乗っ取れば、利用者のパソコンを悪意あるサイトに誘導し、パソコン自体をウイルス感染させることも可能になる。