どのような被害が発生しているのか？ IoTのサイバー攻撃事例

2010年代半ば頃からIoT機器を標的としたサイバー攻撃が発生するようになっています。IoT機器へのサイバー攻撃はどのような被害をもたらすのか、そしてそのような攻撃に対して企業はどんな対策をとれば良いのでしょうか。IoT機器を取り巻くサイバー攻撃というリスクについて解説します。

1. IoT機器を狙ったサイバー攻撃
2. IoTのサイバー攻撃事例
3. IoT機器へのサイバー攻撃を防ぐための対策

IoT機器を狙ったサイバー攻撃

IoTの急速な普及に伴って、IoT機器をターゲットにしたサイバー攻撃が増加しています。

多くのIoT機器にはセンサーが搭載されており、インターネットをはじめとするネットワークにつながっています。防犯や遠隔監視に使われるネットワークカメラもIoT機器の一種です。これらの機器がサイバー攻撃の標的にされやすいのは、次のような特徴があるためです。

• 最小限の機能のみが装備されている
• 長期間使用され続ける
• 管理が行き届きにくい

IoT機器への攻撃では、ルーターなども標的とされます。これらの機器に組み込まれたソフトウェアのぜい弱性を突き、マルウェアに感染させると、攻撃者はIoT機器を遠隔操作できるようになります。そして遠隔操作されるようになったIoT機器は、大量のパケットを送り込むことでサービスをダウンさせる「DDoS攻撃」などに使われます。ネットワークカメラがハッキングされた場合には、勝手に映像を見られたり、ネット上に公開されたりします。

こうした攻撃に使われるマルウェアとしてよく知られているのが「Mirai（ミライ）」です。Miraiはランダムに検出したIPアドレスを使って感染先を探すため、その対象に膨大な数のIoT機器が含まれているのです。

首尾よくIoT機器に感染すると、Miraiは次にボットネットを構成しようとします。ボットネットとは遠隔操作が可能となった多数の機器で構成されるネットワークです。Miraiは機器がデフォルトで設定している確率の高いIDとパスワードを総当りしてログインを試み、ボットネットを構成するための機器を増やして、やがてDDoS攻撃などを開始します。

最近ではMiraiを改造したさらに巧妙な方法で感染を実行するマルウェアも登場しています。その標的は企業向けIoTデバイスにも及んでいるといわれ、現在進行形の脅威となっています。

IoTのサイバー攻撃事例

実際にIoT機器を不正に利用して行われたサイバー攻撃被害の事例をいくつか見てみましょう。

フランスのホスティング事業者が攻撃される
この事業者はIoT機器を踏み台にした記録的な規模の攻撃を受けました。14万台以上のIoT機器が保有サーバーをDDoS攻撃し、ピーク時には1Tbpsを超える過去最大級の攻撃トラフィックが観測されています。

ドイツの電気通信事業者の顧客のルーターが被害に

顧客の家庭用ルーターにMiraiまたはその亜種に感染させようとする動きがあり、一部のルーターがソフトウェアの停止や制限を受けた状態となりました。このとき、ユーザー全体の4〜5％にあたる約90万人に影響が出たとされています。

世界中の監視カメラの映像がネット上に公開される

ロシアのあるWebサイトで、世界中の監視カメラの映像がURLとともに公開されていることが発覚しました。日本国内の約6,000台のカメラ映像も映し出されていました。これらの映像はIDとパスワードが設定されていないか、デフォルトのままにされているネットワークカメラのものだったといわれています。

国内の工場で利用するPCなどが感染

日本の工場やプラントも危険にさらされてる、あるいはすでに多くがマルウェアに感染していると指摘されています。現行の法制度では個人情報の漏えいがなければ関係省庁への報告義務などがないため、実際に発覚しているのはごく一部だといわれます。

公表されているインシデントとしては、工場のサーバーやPCにマルウェアが感染して操業を停止させられるなどした事例が複数あります。また、品質管理の測定装置がマルウェアに感染して不良品質の製品が出荷されたという事例も報告されています。

IoT機器へのサイバー攻撃を防ぐための対策

IoT機器へのサイバー攻撃は、ファイヤーウォールやウイルス対策ソフトをインストールするだけで防げるわけではありません。まず、IoT機器を提供する側が、攻撃に対する最新のセキュリティ対策を講じた製品を作ることが前提です。同時にユーザー企業も攻撃を受けにくくする使い方を心がけ、攻撃を回避する体制を整える必要があります。

日本では、経済産業省と総務省が「IoTセキュリティガイドライン」を公開しています。これはIoT機器へのサイバー攻撃がこれまで以上に大きな被害をもたらす可能性があるためで、その内容は主にIoT機器やシステムを提供する企業向けで、一部がユーザー企業向けのものとなっています。

ガイドラインではまず、IoTセキュリティにおいてはトップダウンで全社的な対策を進めることが推奨されています。これは内部不正によるリスクを回避するためにも必要なことです。またIoT機器の設計、構築・接続、運用・保守の各フェーズで留意すべきポイントが挙げられており、IoT機器メーカーへの対応を呼びかけています。

ユーザー側でできることもあります。セキュリティ対策が十分に施された機器・システムを精査して選定すること、アップデート機能のあるIoT機器を選んで最新の状態を保つこと、古いIoT機器をそのまま使い続けないこと、パスワードを複雑なものにして必ず更新することなどです。そしてインシデントが発生したときにどのように対応するかを事前に決めておくことも非常に重要です。

IoT機器へのサイバー攻撃は、今後どのように巧妙化していくのかまだ予測できない部分が多くあります。常に最新のセキュリティ情報に注意を払い、新しい脅威が現れたときに速やかに対応できるよう準備しておきましょう。