最初が肝心、家庭のIoT化！意外と知らないIoTの基礎知識#02

IT・デジタルセキュリティ

注目記事

2016.5.9（月）9:00 PR

　今、注目の技術である「IoT」をテーマに、技術自体の理解を深め、安全に使うための知識を紹介していく連載コラム「意外と知らないIoTの基礎知識」。第2回は、ニフティのネットワークサービス事業部カスタマーサービス部・部長代理の加瀬正樹氏に引き続き、家庭のIoT化に潜むリスクについて解説してもらった。

　本題に入っていく前に押さえておきたいのが、家庭内のどんなモノをIoT化できるのかということ。代表的なところでは、エアコン、照明器具、テレビ、ハードディスクレコーダー、冷蔵庫、洗濯機、電子レンジ、ゲーム機、パソコンといった家電から、血圧計や体重計などのヘルスケア機器、さらには防犯カメラや防犯センサー、スマートロックなどのホームセキュリティ機器まで、かなり多岐に渡る。

●狙われやすいブロードバンドルーター

　ではそのなかで特に注意すべきポイントはどこなのか？　その点をまず加瀬氏に尋ねると、最初に挙げたポイントが「ブロードバンドルーター」だった。

　IoTのセキュリティ対策というと、エアコンやテレビといったモノ自体のセキュリティ対策に意識がいきがちだが、直接外部ネットワークに繋がり、サイバー攻撃の標的になる「ブロードバンドルーター」こそがまず注意すべきポイントなのだそうだ。

　実際、ある調査レポートによると、昨年、サイバー攻撃された回数が多い機器の上位を占めていたのは、ルーター関連機器だったという。

　加瀬氏によれば、そもそもブロードバンドルーターは、製品サイクルが長く、5年前、10年前の製品が現在も現役で使われていることは珍しくないという。しかし、日進月歩のネットセキュリティの世界において、5年前、10年前というのは、はるか大昔。当時は想定しなかった脅威が日々登場するなか、古いブロードバンドルーターは非常に脆弱なモノとなってしまうのだ。

　そしてもう1つ、加瀬氏が注意すべき点として挙げるのが、パスワードを設定していなかったり、工場出荷状態のままでブロードバンドルーターを使用すること。この点については、かねてから注意喚起されていて、なかには「今さら」と思う人もいるかと思うが、未だに無防備な状態で使用している人は非常に多い。

●乗っ取りやプログラムの書き換えも!?

　では脆弱性のある古いブロードバンドルーターを無防備なままで使用し続けていると、具体的にどんなリスクが待ち受けているのか？　加瀬氏にその辺りを聞くと「データの覗き見、設定の変更、プログラムの書き換え、モノの乗っ取り」を指摘する。

　外部ネットワークと繋がっているブロードバンドルーターは、侵入口としてサイバー攻撃の標的として狙われる。そこからブロードバンドルーターに繋がる機器の内部をのぞき見られたり、知らぬ間に機器の設定を変更されたり、プログラムが書き換えられる可能性が出てくる。そしてプログラムの書き換えや設定の変更をされることで、結果として機器を乗っ取られることもありうる。

　このプログラムの書き換えや、設定を変更されるというのが厄介で、家に例えるなら、室内に泥棒が忍び込んでいるようなもの。家の中に泥棒がいるということは、外から鍵をかけても中から鍵を開けられたり、泥棒にしかわからない仕掛けを家に施され、第二、第三の犯罪の手助けをされてしまうことになる。

　例えば、乗っ取られたモノをコントロールしてスパムメールの発信に悪用したり、仮想通貨のマイニング（発掘）に悪用されたり、ある意味で加害者にもなりうるのだ。そして、このような被害は目に見えないことが多く、室内に泥棒が忍び込まれたことすらわからないという問題もある。実際、防犯カメラが覗き見されていたとしても、住人がすぐに気付くことはないだろう。

　これまでならブロードバンドルーターの接続先となるのはパソコンなどのごく限られたモノだったが（十分に危険なことではあるが…）、IoT化された家では、エアコンやテレビ、電子レンジ、冷蔵庫と、物理的な被害に直結しかねないモノも脅威にさらされることになるのだ。

●狙われるさまざまな情報

　ブロードバンドルーターに続き、加瀬氏がネット犯罪者に狙われる可能性が高いと指摘するのが、IoTにより取得された情報が保存されるファイルサーバーやNASといった機器の数々だ。

　IoT化により、家庭内のさまざまな情報がネットワーク上でやりとりされるようになり、今後はヘルスケアや生活情報も扱われるようになれば、サイバー攻撃の標的になる可能性はますます高まってくる。例えば、電力使用量情報を不正に知られることで留守宅の識別が可能となり、空き巣被害に遭う可能性も考えられる。国内ではそういった報告はないが、海外ではすでに発生しているという。

　では、一体どのような対策が必要になるのか。厳重なセキュリティ対策となると、難しい話になってくるが、基本はシンプルだ。ファイルサーバーやNASへのアクセスに際して認証を行う設定にするのが基本だと加瀬氏は言う。ビジネス用途なら一定のセキュリティ対策がとられるだろうが、家庭となると「どうせ大した情報を扱ってないから」と油断をしてしまうことは容易に予想できる。IoT化により扱われる情報の重要性がより高まっていくなかでは、ユーザー自身のセキュリティに対するリテラシーを高めていくことが大切になる。

●安全な運用を行うための多元的な対策

　いろいろとリスクを挙げていくと、IoT化がとても危険で怖いもののように感じるが、今回挙げたリスクに関しては、セキュリティ意識がゼロに近い状態で使用した場合のものとなる。

　IoT化が本格的に普及していく中では、さまざまなな脅威やリスクが出てくるが、機器メーカー、ネットワーク事業者、セキュリティベンダー、研究者や研究機関でも常に最新の対策に取り組んでいくだろう。

　そうしたなかでは、機器のセキュリティ対策、ネットワークのセキュリティ対策、ユーザー自身のセキュリティ対策など、多元的な対策が肝になる。そして、第一段階としては、IoT化を望むユーザー自身が危機意識とセキュリティへの関心を持つことがセキュリティ対策のボトムアップに繋がる。

　次回からは、そうした多元的なセキュリティ対策について、ネットワーク事業者、セキュリティベンダーなどの各立ち位置からの取り組みを紹介していく。

《防犯システム取材班／小菅篤》