IoT時代を迎えた現在、あらゆる機器がネットワークにつながり、機器から取得した多種多様なビッグデータの活用が始まっている。同時に、IoT機器を狙ったサイバー攻撃も急増しており、セキュリティの担保はこれまで以上に困難だ。ひとたび対応を誤れば大きな打撃を受けることから、セキュリティ対策はいまや企業の生命線ともいえる重大な課題だが、はたしてどのような取り組みをすべきなのか。IoT機器をめぐるさまざまな脅威と、対策のポイントについて、サイバーセキュリティの第一人者である徳田英幸氏に伺った。

IoTの進展で被害が急激に増えている

――現在、IoTへの期待が高まる一方で、さまざまなものがつながることによるセキュリティ上のリスクも高まっています。IoTの進展により、これまでの状況とはどのように違ってきているのでしょうか?

徳田
二つの側面で、すなわち、量的および質的側面で、これまでとは大きく違います。まず、量的に脅威が圧倒的に増えているのです。これまでインターネットにつながっていなかったものまで接続するようになったことで、それらを「踏み台」にして、ユーザーの機器や設備が気づかないうちに乗っ取られ、大量攻撃の手下にされてしまう事例が増えています。

例えば、赤ちゃんの見守りのためにリビングルームに取り付けたパーソナルなウェブカメラや、アパートの出入口に取り付けたセキュリティカメラが乗っ取られて、攻撃に加担したりプライバシーが侵害される被害があります。また、屋根に取り付けた太陽光パネルの制御システムが侵入され、ON/OFFを勝手に操られてしまったり、複合コピー機に侵入され、情報が抜き取られたりといった被害が出ています。パソコンだけでなく、新たにつながった機器の分だけ、セキュリティを脅かされるリスクが飛躍的に高まっているのです。

具体的に攻撃量の変化を見てみると、以下のグラフのようになります。

画像: IoTの進展で被害が急激に増えている

従来の攻撃対象は、Windowsのサーバーなど、業務に使われるものがほとんどでしたが、2014〜2015年あたりからIoT機器への攻撃が一気に増えました。とくに2015年に目立ったのがMiraiと呼ばれるマルウェア(悪意のある不正プログラム)で、LinuxのオペレーティングシステムをベースにしてつくられたIoT機器に対して明示的に攻撃を仕掛けて乗っ取り、ユーザーが知らない間に攻撃に参加させられてしまう例が急増しました。

ここで狙われたのは「TCPポート23」という、ネットワークに接続された機器を遠隔で操作する通信プロトコルTelnetに使われるコマンドへのアクセスです。そもそもTCPポート23は、PC業界では脆弱性が知られていて、すでに使われていませんでしたが、遠隔での保守がしやすいという理由からIoT機器では遮断されずに利用されていたケースが多いです。しかも、出荷時のIDやパスワードは容易に想像がつくものでしたり、ひどい場合にはマニュアルに書かれたままで運用されています。こうした機器は安価なうえ、手軽に取り付けられることから、IDやパスワードを変えずにそのまま設置してしまう人が後を絶たず、攻撃の対象になってしまうのです。

IoT機器への攻撃は、物理的な被害ももたらす

徳田
そして、もう一つこれまでと大きく違うのが脅威の質です。これまでも、2009〜2010年頃、スタックスネットと呼ばれるコンピュータ・ワームによってイランの核施設が標的にされたり、2012年のロンドンオリンピックの際に照明システムがDoS(Denial of Service)攻撃を受けてネットワークに過剰な負荷をかけられるなどの事例はありましたが、IoTの進展にともない、より身近な場面での被害も出始めています。

例えば、イギリスのセキュリティチームはある警告映像を発信しています。これは、攻撃者がネットワークにつながったロボット玩具に近づき、ピアツーピア(P2P)と呼ばれる機器同士で通信できる仕組みを介して、ロボットと自分のスマートフォンを勝手につなぎ、子どもが遊んでいるロボットに、「君にプレゼントがあるから、ドアを開けて」としゃべらせるというもの。その言葉を聞いた子どもがドアの鍵を開けてしまうという、恐ろしい映像です。

また、その他にも、しゃべる猫のぬいぐるみの玩具を乗っ取って、GoogleやAmazonなどのAIスピーカーを介して、勝手にキャットフードを注文してしまう映像も紹介されています。IoT機器を乗っ取れば、こうした愉快犯的な犯罪も簡単にできてしまいます。

あるいは、コネクテッドカーを遠隔で乗っ取り、車のスピードを変えたり、ハンドルを勝手に操作してしまったりという、命に関わるようなハッキングの事例もあります。従来なら、実際に車に乗らなければできなかったことが、ネットワークを介して物理空間上で容易に操作できてしまう脆弱性が存在することが、IoT機器の最大の脅威なのです。

画像: IoT機器への攻撃は、物理的な被害ももたらす

攻撃とセキュリティの非対称性ゆえに、対策は後手に

――ネットワークにつながれた機器に比例してリスクが高まるだけでなく、家に侵入されたり、勝手に買い物されてしまったりといった、身近なところでも物理的に被害を受ける可能性があるわけですね。

徳田
ええ。攻撃にあった機器の一覧を見てみると、思いがけないものも含まれています。イスラエルの有名なセキュリティの研究者 アディ・シャミア博士が、あえて過激なやり方でハッキングをしたものの中に、フィリップス社製の電球があります。この電球のZigBeeという近距離無線通信プロトコルの脆弱性を突いて、家の近くに車やドローンなどで近づき、ON/OFFを自在に操れることを実証しました。なお、これを受けて、フィリップス社はこの電球のソフトウェアを改善しました。

恐ろしいのは、一度電球を乗っ取ってマルウェアを配布すると、その電球から他の同じ電球へ次々に被害を及ぼし、リセットがきかなくなってしまうこと。シャミア博士はこれを核融合にたとえましたが、確かに、一度の攻撃で一気に被害を拡散するという意味で強烈です。

我々の業界では、リセットのきかなくなった機器の状態を「文鎮化」と呼びますが、こうなると、もうどうしようもありません。しかも、攻撃の跡が見えないので、ユーザーは何が起こったのかまったく気づかないのです。

――ハッキングされた形跡は、インターネットのログなどに残らないのですか?

徳田
ホームサーバーなどの場合は運がよければログが残っていますが、医療機器やヘルスケア機器など、小型で計算リソースが少ないIoT機器ではほとんど残っていません。しかも、P2Pのようにインターネットを介さずに直接つながってしまうものについては、見えないし、跡もないわけですから、非常に厳しい状況です。

そもそもこの問題の根底には、「攻撃にかかる攻めるコスト」と「セキュリティを守るコスト」では、前者の方が圧倒的に少ないという、非対称性問題が横たわっています。攻撃のスピードも、守る側よりも圧倒的に速いし、攻撃の人数も桁違いで、攻撃者の誰かがシステムの脆弱性を見つけると、互いに情報を共有して、いっせいに攻撃を仕掛けてきます。

ちなみに、横浜国立大学の吉岡克成先生が攻撃者の観察をした研究で、研究室に取り付けたウェブカメラをわざと工場出荷状態のIDとパスワードに戻し、何秒で汚染されるか調べたところ、最短40秒ぐらいで汚染されてしまったそうです。

しかもさまざまな機器がつながることで、攻撃の仕方もますます巧妙になっている。まずは一部の機器を対象にボヤ騒ぎを起こしておいて、消火活動をしている間に本丸の設備を攻めるといった具合に、攻撃の仕掛け方も増えています。

そもそも攻撃者は愉快犯に限らず、海外ではビジネスとしてやっている人も少なくありません。職がなくて困窮しているような人たちが、ネットの裏社会と通じて、報酬をもらいながら攻撃に参加しているケースがあるのです。そう考えると、IoT機器の脅威を解決するためには、技術的な課題だけでなく、社会的な課題にも向き合う必要があると言えますね。

画像: 攻撃とセキュリティの非対称性ゆえに、対策は後手に

機器やサービスのライフサイクル全体を見据えた取り組みを

――お話をお聞きしていて、悲観的な気持ちになってきました。

徳田
必ずしも悲観的になる必要はなくて、すでに通信・放送、エネルギー、物流、金融、交通といった社会を支える重要インフラについては、国をあげてサイバーセキュリティ対策をさまざまに強化しています。一方で、スマート家電やスマート健康機器、ウェブカメラ、パーソナルロボットなど、個人が手軽に設置できるものの対策が遅れています。啓発活動も含めて、先手を打ちながら対策をしていく必要があるということです。

――IoT機器を提供する側としては、具体的にどのような対策を行うべきなのでしょうか。

徳田
すでに設置されている機器については後付けで対応するしかありませんが、これからつくられる新しいIoT機器やサービスについては、企画・設計・実装・運用・管理・保守・廃棄という、ライフサイクル全体を視野に入れたセキュリティ対策をしていく必要があるでしょう。揺りかごから墓場までを見通したデザイン思考、つまり「セキュリティ・バイ・デザイン」が重要だと思います。

例えば、ヘルスケア機器などでも、生体情報などが入ったまま廃棄してしまうと、残ったデータが個人と紐づけられて、悪用される危険性があります。そのようなことがないように、製品やサービスの設計の段階から廃棄に至るまで、トータルで管理していく方法をデザインする必要があるということです。

ある意味、セキュリティ対策というのは環境対策に似ていると言ってもいいかもしれません。これまで、環境汚染やゴミ問題に対して、つくる側も使う側も問題を互いに共有しながら、社会全体でリデュース(発生抑制)やリユース(再使用)、リサイクル(再生利用)、廃棄物ゼロをめざすゼロエミッションなどに取り組んできた歴史があります。同様にセキュリティについても、つくる側も使う側も皆で課題を共有し、一丸となって対策を進めていく必要があるのです。

※Windows は米国 Microsoft Corporation の米国およびその他の国における登録商標です。また、LinuxはLinus Torvalds氏の米国およびその他の国における登録商標です。

(取材・文=田井中麻都佳/写真=秋山由樹)

画像: 徳田英幸氏 1975年慶應義塾大学工学部卒。同大学院工学研究科修士。1983年ウォータールー大学計算機科学科博士(Ph.D. in Computer Science)。1983年米国カーネギーメロン大学計算機科学科に勤務、研究准教授を経て、1990年より慶應義塾大学環境情報学部に勤務。慶應義塾常任理事、大学院政策・メディア研究科委員長、環境情報学部長などを歴任。2017年より国立研究開発法人 情報通信研究機構 理事長、慶應義塾大学客員教授。日本学術会議情報学委員会委員長、スマートIoT推進フォーラム座長、重要生活機器連携セキュリティ協議会会長なども務める。

徳田英幸氏
1975年慶應義塾大学工学部卒。同大学院工学研究科修士。1983年ウォータールー大学計算機科学科博士(Ph.D. in Computer Science)。1983年米国カーネギーメロン大学計算機科学科に勤務、研究准教授を経て、1990年より慶應義塾大学環境情報学部に勤務。慶應義塾常任理事、大学院政策・メディア研究科委員長、環境情報学部長などを歴任。2017年より国立研究開発法人 情報通信研究機構 理事長、慶應義塾大学客員教授。日本学術会議情報学委員会委員長、スマートIoT推進フォーラム座長、重要生活機器連携セキュリティ協議会会長なども務める。

「第2回:積極的なセキュリティ対策が企業の価値を高める」はこちら>

This article is a sponsored article by
''.