IoTセキュリティの基本と対策 – 知らない間に攻撃されていた・していたを防ぐ

  • このエントリーをはてなブックマークに追加

IoTのセキュリティに対する懸念や不安が指摘されて久しいですが、それでは実際にどうすれば良いのか疑問をお持ちではありませんか?現在お手持ちのIoTデバイスがセキュリティ上どういう状況にあるのかを知りたいという方もおられると思います。

「モノのインターネット」と訳されるIoTには無限の可能性がある一方で、ネットに接続している意識があまりないままに情報通信が行われるため、セキュリティへの意識も希薄になりがちです。そこを突いた攻撃事例も報告されており、今後さらにIoTのセキュリティが大きく注目されることとなるでしょう。

この記事ではIoTのセキュリティに関する基本的な情報から主要なリスク、そしてセキュリティ上心がけたいポイントを解説しています。「知らない間に攻撃されていた/攻撃していた」ということがないよう、ぜひ最後までご覧ください。

目次

1.本格的なIoT時代の到来
・1-1.IoTとは
・1-2.近年のIoT事情
・1-3.主なIoT機器
・1-4.IoTに求められるセキュリティ意識
2.IoTを標的とした攻撃の危険性
・2-1.IoTへの攻撃は何が問題なのか
・2-2.考えられるIoT機器への攻撃
・2-3.IoT機器が狙われている理由
3.IoTの安全を守るためのセキュリティ対策
・3-1.IoTデバイスも立派なネット接続デバイスであると認識する
・3-2.第三者の不正侵入を防ぐ設定をする
・3-3.ネットへの直接接続はできるだけ避ける
・3-4.ネットに接続する機器を常に最新の状態に保つ
・3-5.そもそもネットに接続する必要があるのかを考える
4.まとめ

1.本格的なIoT時代の到来

iot-security-01

1-1.IoTとは

最近になってますます見聞きすることが多くなったIoTとは「Internet of Things」の略です。これを直訳すると「モノのインターネット」という意味になり、パソコンやスマホなど本来インターネットを利用するデバイスだけではなく、家電や自動車などがインターネットに接続される社会のことをいいます。

特定通信・放送開発事業実施円滑化法という法律ではIoTについて言及されており、同法によるとIoTとは「インターネットに多様かつ多数の物が接続され、及びそれらの物から送信され、又はそれらの物に送信される大量の情報の円滑な流通」であると定義されています。

ここでいう「多様の物」とは、先述のように家電や自動車、住宅、監視カメラなどもともとはインターネットに接続することが想定されていなかった機器類を指します。パソコンやスマホと区別する意味から、こうした機器類のことをIoTデバイスと呼びます。

なお、スマホはもともと携帯電話だったものがインターネット利用端末へと進化したので、広義にはスマホもIoTデバイスと言えます。

1-2.近年のIoT事情

IoTデバイスの普及は急速に進んでおり、総務省の調査によると2020年には全世界で約530億ものIoTデバイスがインターネットに接続され、利用される見通しとなっています。その後もIoTは拡大を続けていくと見られているため、IoTをめぐるセキュリティ確保は、その重要性がますます高まっています。

ネットに接続するデバイスである以上、IoTデバイスはパソコンやスマホなどと同様にネット上の脅威に対するセキュリティを確保する必要があります。

2016年の時点ですでにマルウェア報告も実際に出ており、IoTデバイスが攻撃されるのではないかという懸念はすでに現実のものとなっています。

詳しくは後述しますが、IoTデバイスへの攻撃としてよく見られるのがボットネットへの組み込みです。ボットネットとはマルウェアに感染したデバイスが攻撃者の意向に沿って操作されてしまい、DDoS攻撃などの攻撃に加担させられる仕組みのことです。機能的にIoTデバイスにも同様のことが可能であるため、攻撃者はパソコンやスマホなどと同様にIoTデバイスを攻撃対象と見なしています。

ボットネットやDDoS攻撃に関する詳しい解説は、「ボットネットとは?知らぬ間に犯罪行為に加担させられないための対策方法」「加害者にならないために – DoS/DDoS攻撃の違い、基本と対策」をご覧ください。

1-3.主なIoT機器

現在普及が進んでいる主なIoT機器としては、住宅、家電、監視カメラ、自動車などが挙げられます。住宅にはHEMS(Home Energy Management System)というエネルギー利用を最適化するシステムを搭載したものがありますが、このHEMSは住宅内のエネルギーを管理するコンピューターシステムとしてインターネットにも接続されるため、代表的なIoT機器のひとつです。

家電としては冷蔵庫や洗濯機、エアコン、オーディオ機器などがあります。これらは全てインターネットに接続され、最適な使用モードの選択や省エネなどに活用されています。

IoTとしての機能を備えた自動車はコネクテッドカーと呼ばれ、交通、気象、渋滞情報などをネット経由で収集し、それをドライバーの運転だけでなく自動車を制御するためにも役立てるなどの使い方があります。

1-4.IoTに求められるセキュリティ意識

これまでインターネットに接続されることがなかった「モノ」が、IoTによって新しい機能を持つことができるわけですが、ネットを利用する以上はパソコンやスマホなどですでに認識されているものと同じリスクがあることを忘れてはいけません。

次章で詳しく解説しますが、IoTデバイス特有のリスクも指摘されており、IoTを利用するにあたってはセキュリティ意識が欠かせません。

2.IoTを標的とした攻撃の危険性

iot-security-02

2-1.IoTへの攻撃は何が問題なのか

パソコンやスマホ、タブレットなどこれまでネット端末として利用されてきた機器と異なり、IoTデバイスには特有のリスクがあります。そのリスクについてさまざまな角度から解説します。

2-1-1.社会の至る所で問題が起きるリスク

家電や自動車、住宅などがIoTデバイスになるということは、これまでパソコンなどが利用されていなかった社会の隅々にまでIoTデバイスが行き渡ることになります。そんな社会の隅々にまで行き渡ったIoTデバイスがマルウェアの攻撃にさらされるということは、影響の及ぶ範囲がそれだけ広くなることを意味します。「自宅の冷蔵庫がDDoS攻撃に加担する」といったことは、これまで考えられなかったリスクです。

2-1-2.知らない間に被害者/加害者になってしまう可能性が高い

ネットに接続されていることを意識することなく様々な情報のやり取りができるというのも、IoTのメリットです。ネットに接続されていることを意識しないということは、ネット経由の脅威にさらされていることにも意識を持ちにくいということでもあります。

パソコンやスマホのようにディスプレイがあるとは限らないため、攻撃による異常を察知することも難しく、知らず知らずの間にボットネットに組み込まれて誰も気づかないということも十分考えられます。

また、先にも述べたように自宅の冷蔵庫が攻撃に荷担することによって、気がつかないうちに犯罪者の仲間として加害者になっていることも考えられます。

2-1-3.対策されないまま長期間放置されやすい

前項のように攻撃されていることに気づきにくいということは、IoTデバイスがマルウェアに感染した状態が長期間放置されたままになる可能性が高くなります。

また、自動車や家電などのライフサイクルにも目を向けてみると、パソコンやスマホなどが数年という耐用年数であるのに対し、自動車や家電は10年使うことも珍しくありません。この長期間にわたってIoTデバイスがボットネットに組み込まれたままになっているかも知れないと考えると、IoT特有のリスクについて本質をご理解いただけると思います。

2-1-4.ネット利用をしている意識を持ちにくい

ネットに接続することを意識しながら使うデバイスであれば、セキュリティに対する意識を自然に持てるかも知れませんが、IoTデバイスはそれを意識する場面が少なく、「ネット利用=セキュリティの必要性」という法則が頭の中で成立しにくい側面があります。

そのためセキュリティ意識が希薄になりがちで、すでに明るみになっているIoTデバイスへの攻撃事例でも、この意識の低さが露呈しています。

2-2.考えられるIoT機器への攻撃

2-2-1.迷惑メール発信の踏み台にされる

依然としてなくならない迷惑メールですが、こうした迷惑メールの配信に第三者のデバイスが勝手に悪用されることがあります。かつてはパソコンが主な標的でしたが、その標的にIoTデバイスが加わることで「冷蔵庫が迷惑メールを配信する」といったことが現実に起きています。

アメリカで起きた事例では、IoTデバイスとして家庭で利用されていた冷蔵庫とテレビが75万通もの迷惑メールを配信したことが注目されました。

More than 750,000 spam emails sent from fridges and TVs (リンク先は英語)

2-2-2.ボットネットへの組み込み

初めて確認されたIoTデバイスを対象としたマルウェアとして有名なのが、Miraiです。2016年10月にアメリカの大手サーバー会社に対してDDoS攻撃が行われ、大規模な接続障害が起きました。これを起こしたのがMiraiで、このDDoS攻撃に加担していたのが、何千万台にも及ぶIoTデバイスです。家電や監視カメラなどが攻撃者によってMiraiマルウェアに感染させられ、持ち主の全く知らないところで何千万台ものIoTデバイスが一斉に攻撃を仕掛けたことで実害が発生しました。

今後も、IoTデバイスを狙った同様の攻撃が行われることを感じさせる前例です。

Web カメラなどのコネクテッドデバイスを介した大規模なサイバー攻撃により、インターネットの接続障害が発生。その経緯とは

2-2-3.情報の盗み見、漏洩

IoTデバイスが狙われた情報の盗み見では、insecamの存在が典型的です。ネット経由で遠隔地から監視カメラの映像を見ることができるとしてWebカメラ型の監視カメラは人気ですが、それは同時に第三者がその映像を盗み見するリスクと隣り合わせです。

insecamは購入時のパスワードを変更していないなどセキュリティ上脆弱な監視カメラの映像を勝手に配信しているサイトで、これもIoTが持つリスクのひとつと言えます。初期設定状態からパスワードを変更するだけで防げる被害ですが、insecamには膨大な数の監視カメラが登録されており、それだけ攻撃に対して丸腰のカメラが多いことを如実に示しています。

スマホ、パソコンのカメラも例外ではない!insecamが示す情報漏洩のリスクと対策

2-2-4.DNSチェンジャー

攻撃者の目的は様々ですが、DNSチェンジャーという手口の目的は不正サイトへの誘導です。ルーターのDNS設定を書き換えることによって正規のサイトにアクセスしようとしている人が知らない間に不正サイトに誘導されてしまうもので、DNSチェンジャーの侵入経路としてセキュリティの甘いIoTデバイスが狙われることが懸念されています。

2-2-5.自動車の遠隔操作

当初はメールの送受信やカーナビのルート案内に必要な情報の送受信などから始まった自動車のIoT化ですが、現在ではそれがさらに進化して自動車そのものがIoTデバイスとなりつつあります。

位置情報が漏洩することでそのドライバーが走ったルートが攻撃者によって筒抜けになってしまうリスクや、最悪の場合は自動車そのものを遠隔操作される可能性も指摘されています。すでに遠隔操作でエンジンを停止させたりすることができてしまうことが立証されており、ブレーキの無効化などが現実に起きてしまうと交通事故の重大なリスクとなります。

「コネクテッドカー」のセキュリティリスク

2-3.IoT機器が狙われている理由

ここで素朴な疑問として、なぜIoTデバイスが狙われやすいのかという理由を考えてみたいと思います。

まず、技術的に容易であることが大きいでしょう。IoTデバイスといっても何らかの基本ソフトによって制御されており、それが既存のAndroidやiOS、Linuxなどをベースとしているため、これまでに蓄積されたマルウェア開発資産やノウハウを応用しやすい環境があります。

次に、パソコンなど情報端末よりも社会に広く浸透している家電などに感染させられるため、攻撃者にとっては効率良く大量のボットネットを構築できるという「メリット」があります。また、IoTデバイスは利用している人がセキュリティ意識を持ちにくいため、早期に発覚して駆除される可能性が低いのも好都合でしょう。

これらの事情を考えると、今後もIoTデバイスを狙った攻撃はより巧妙になっていく可能性が高く、IoTデバイスを利用する全ての人が正しいセキュリティ意識を持つことが求められます。

3.IoTの安全を守るためのセキュリティ対策

iot-security-03

3-1.IoTデバイスも立派なネット接続デバイスであると認識する

すでに述べてきていることですが、IoTデバイスはネット端末の一種です。IoTデバイスだから特別な存在であって安全性が確保されているというわけではなく、パソコンやスマホと同様にネットに接続をして情報のやり取りをするため、それに伴うリスクも同様にあることを認識しましょう。

3-2.第三者の不正侵入を防ぐ設定をする

IoTデバイスがネット端末である以上、セキュリティ上の観点から認証機能が用意されていることが多く、それを設定して第三者によって自由に出入りできる状況を解消しましょう。

工場出荷時のデフォルトパスワードのまま使用するというのは、例えば「0000」という暗証番号で銀行のキャッシュカードを利用しているようなものです。先述したinsecamの事例も監視カメラの初期設定を変更していないことが攻撃者のつけいる隙になってしまっているので、これを任意のものに変更するだけでも非常に有効です。

ご使用のIoTデバイスで少なくとも初期設定のパスワードを変更するなどの措置をとってください。

3-3.ネットへの直接接続はできるだけ避ける

IoTデバイスはインターネットに接続することでその便利さを発揮しますが、だからといってインターネットに直接接続することはセキュリティ上好ましくありません。複数のデバイスを使用する場合はルーターが設置されているはずなので、このルーター経由でインターネットに接続するようにしてください。

3-4.ネットに接続する機器を常に最新の状態に保つ

どうしても感覚が希薄になりがちですが、IoTデバイスもインターネットに接続する以上、ネット端末の一種です。ファームウェアなど、そのIoTデバイスを動作させるためのソフトウェアがあるので、それを常に最新の状態に保つことはセキュリティ上有効です。

この感覚はパソコンのOSで頻繁に行われているセキュリティアップデートと同じです。パソコンだとセキュリティへの関心の高さからアップデートが適切に行われていても、それがIoTデバイスとなると感覚が希薄になりがちなので、同じ感覚を持つことが大切です。

3-5.そもそもネットに接続する必要があるのかを考える

IoTデバイスにはネット接続の機能がありますが、人によってはその機能を利用しない、必要としないこともあるでしょう。実際に一度使ってみたもののメリットが感じられなかったという場合も含めて、「そもそもネットに接続する必要があるのか」を一度考えてみてください。

その結果、必要ないと判断したのであればネット接続を切っておくというのもリスクを根本的になくすことができるので有効な手段です。

4.まとめ

冒頭で述べたように、IoTデバイスの急速な普及・拡大は今後も続くと見られています。それは同時にIoTデバイスを標的とした攻撃が増えることでもあるので、正しい知識を持って適切なセキュリティを施すことでリスクを可能な限り軽減しておきたいものです。

安全に利用すればこれまでになかったような便利さを手に入れることができるIoTデバイスなので、そのメリットを安全に享受できるよう、この記事の情報をお役立てください。

※記事内容の利用実施は、ご自身の責任のもとご判断いただくようお願い致します。

  • このエントリーをはてなブックマークに追加
パソコンの動きが遅いと感じたら、
無料でウイルススキャンしてみませんか?
ノートンセキュリティ

あなたは現在、パソコンの動きが遅い、ソフトがすぐに落ちる、重要なデータが開けない、 などのおかしな症状に悩まされていませんか? 
近年、ネット犯罪が増加し、様々なトラブルが発生しています。「自分は大丈夫だろう」と対策を怠った結果、 知らないうちに、悪質なウイルスに感染してしまうことも少なくありません。

あなたのパソコンが安全かどうかを調べるもっとも確実な方法は、セキュリティソフトを使った『ウイルススキャン』です。この方法は、以下のようなメリットがあります。

  • ボタンひとつで、パソコン全体を簡単にスキャン
  • ファイルを隅々まで調べ、ウイルスを高確率で検出
  • 危険なウイルスを発見次第、そのまま駆除

ノートンセキュリティは30日間(最大60日間)無料で最新版がご利用いただけます。今すぐインストールして、ウイルススキャンをしてみてください。



2ヶ月間の無料体験版
ノートンセキュリティの魅力とは?