IoT機器 20万台超にサイバー攻撃の高リスク 更新の徹底を

東京のセキュリティー会社「ゼロゼロワン」が、国内でインターネットにつながる「IoT機器」のセキュリティーを調べるため、独自のシステムを使って機器の種類やソフトウエアのバージョンを判別して、分析したところ、先月までの調査でおよそ20万台が、機器を乗っ取られたり、サービスを停止させられたりする、ぜい弱性＝セキュリティー上の欠陥を持ったまま使われていることがわかりました。

機器の種類別では、セキュリティー対策に利用される「UTM機器」が8万9000台余り、「アクセスポイント」が5万9000台余り、「ルーター」がおよそ1万7000台、データの共有に利用される「NAS」が7000台余り、ネットワークカメラがおよそ5000台などとなっています。

20万台のうち、およそ半分はメーカーのサポート期間がすでに終了していてぜい弱性に対応できていないもので、残りの半分が、メーカーが対応したものの利用者が適切にアップデートせずに使っていました。

またこれとは別にメーカーのサポートがすでに終了した状態で使い続けている比較的古い時期に発売された機器が、およそ25万台あることもわかりました。

ゼロゼロワンによりますと、こうしたIoT機器は、サイバー犯罪者などに勝手に操作されたり、マルウエアに感染させられて、乗っ取られると、サイバー攻撃の「踏み台」として悪用されるおそれもあるということです。

こうしたIoT機器が抱えるサイバー攻撃のリスクについて、サイバーセキュリティーが専門の横浜国立大学の吉岡克成教授に、実際の機器を使った実験で、検証してもらいました。

実験では、10年以上前に発売された見守り用のカメラを、ソフトウエアのアップデートを行わずに使用しました。

そして、IDやパスワードを知らない攻撃者が管理画面にログインを試みるという想定で、サイバー犯罪者などが使う「辞書攻撃」と呼ばれるパスワードに使われる頻度が高い単語や文字列のリストを順番に試していく手法で、アクセスを試みました。

すると、わずか数秒で侵入に成功し、カメラに写っている室内の映像が確認できるようになったうえ、ズームなどの操作も行えるようになりました。

さらに、カメラのセキュリティー上の欠陥をついて不正な命令を実行させると、機器を乗っ取ることに成功しました。

そして疑似的なウイルスを送り込むと、カメラに写っていた映像を「機器は感染しました」という英文に切り替えることもできました。

サイバー犯罪者などは、このように機器を乗っ取って攻撃の踏み台にすることで、自身を特定されづらくしているということです。

サイバー攻撃の調査や情報発信を行っている、「JPCERTコーディネーションセンター」の佐々木勇人アナリストは、サイバー攻撃が増える中、事後的に対応するだけでは対応が難しくなっていると指摘しています。

サイバーセキュリティーに関する法律に詳しい明治大学の湯淺墾道教授は、「通信の秘密」とのバランスをとる、慎重な議論が必要だと指摘しています。