IoTセキュリティとは？基礎知識から脅威事例まで初心者向けに解説

IoT（Internet of Things）デバイスは、家庭用のスマート家電から工場のセンサー、都市インフラまで、あらゆる分野に深く浸透しています。これらのデバイスはネットワーク接続が前提であるため、利便性の裏でサイバー攻撃の標的となりやすい性質を持っています。

IoTデバイスのセキュリティ上の不備は、個人情報の漏えいや産業インフラの停止、さらには人命に影響を及ぼすリスクがあります。ここでは、主な脅威とそれに対応するセキュリティ対策を詳しく見ていきましょう。

IoTデバイスにおける主要なセキュリティリスクと対策

IoTデバイスは急速に普及していますが、その特性からさまざまなセキュリティリスクにさらされています。本稿では、代表的なリスクと具体的な対策を整理し、IoTセキュリティをライフサイクル全体で確保するためのポイントを紹介します。

認証・認可の不備とアクセス制御の強化

IoTデバイスは初期設定のまま利用されることが多く、簡単なパスワードや脆弱な認証機能が狙われやすいという課題があります。これにより、攻撃者はパスワードリスト攻撃や総当たり攻撃で容易に不正アクセスを行う可能性があります。

Avastの2019年Smart Home Security Reportによると、調査対象となった1600万の家庭用ルーターのうち、59.1%に脆弱性が発見されました。
参考リンク :https://cdn2.hubspot.net/hubfs/486579/avast_smart_home_report_feb_2019.pdf

対策 :

• 利用開始時に初期パスワードの変更を強制
• 多要素認証の導入
• 不要なアカウントの無効化
• 必要最小限の権限のみを付与する「最小権限の原則」の徹底

通信経路の安全確保と暗号化

暗号化されていない通信や認証のないプロトコルを利用しているIoTデバイスは、データの盗聴や改ざんにさらされやすいです。特に医療IoTや自動車IoTでは、通信の改ざんが人命や交通安全に直結するリスクがあります。

対策 :

• 暗号化された通信プロトコルの採用
• HSM（Hardware Security Module）を活用した安全な鍵管理
• 通信経路上でのデータ盗聴・改ざんリスクの低減

ソフトウェア更新と脆弱性管理

IoT製品は安価で大量に普及する一方、ファームウェアの更新機構が提供されなかったり、利用者が更新の必要性を認識していなかったりすることが多いです。既知の脆弱性が修正されないまま放置され、攻撃に悪用される危険性があります。

対策 :

• デジタル署名付きのOTA（Over-The-Air）アップデートの導入
• ファームウェアの改ざん検証
• 自動更新機能の組み込みによる常時最新状態の維持

ボットネット化と大規模攻撃の防止

IoTデバイスが乗っ取られると、攻撃者はそれをボットネットとしてDDoS攻撃の踏み台に利用する可能性があります。過去には「Mirai」マルウェアによって数十万台規模のIoTデバイスが感染し、大規模なサービス停止を引き起こしました。

対策 :

• ログの取得と監視体制の構築
• IoTゲートウェイやクラウド側での侵入検知システム（IDS/IPS）の導入
• 不審な挙動や外部からの攻撃のリアルタイム監視

物理的アクセスからの保護

安価で手に入りやすいIoTデバイスは、攻撃者が分解・解析することで、内部のファームウェアや脆弱性を特定することが容易な場合があります。これにより、大量の同型機器に対する攻撃へとつながる可能性があります。

対策 :

• デバッグポート（UART、JTAGなど）の無効化やパスワード保護
• HSMによる暗号鍵や認証情報の安全な格納
• 分解・改ざんを検知する耐タンパ性設計の導入

IoTセキュリティのライフサイクル全体管理

上記の対策は単一の要素だけでは不十分です。IoTデバイスのセキュリティは、設計・開発段階（Security by Design）から運用、そして廃棄に至るまでのライフサイクル全体で管理することが不可欠です。

対策 :

• 開発段階でのセキュアコーディングと脅威モデリング
• 運用中の継続的な脆弱性診断やペネトレーションテスト
• 利用者向け教育と啓発による安全運用の徹底

これらを組み合わせることで、IoTデバイスの安全性を総合的に確保することが可能になります。

Miraiボットネットによる大規模DDoS攻撃

2016年に発生したMiraiマルウェアによる攻撃は、IoTデバイスのセキュリティ重要性が世界的に認識される転機となりました。この攻撃では、インターネットに接続された多数のIoT（Internet of Things）デバイスが乗っ取られ、大規模な分散型サービス拒否（DDoS）攻撃の踏み台として悪用されました。この事例は、従来のサイバー攻撃の常識をはるかに上回る規模で実行され、社会全体のサービス基盤の脆弱性を浮き彫りにしました。

Miraiの仕組み：IoTデバイスが「ボット」になるまで

Miraiは、主にLinux OSを搭載した家庭用IoTデバイスを標的に設計されたマルウェアです。その感染プロセスは以下の通りです。

• 偵察（スキャン）
  Miraiは、Telnetで使用されるポート23を中心に、インターネット上のIPアドレスを無作為にスキャンし、攻撃対象となりうるIoTデバイスを特定します。
• 辞書攻撃による侵入
  脆弱なデバイスを発見すると、工場出荷時のデフォルトのユーザー名とパスワードの組み合わせを試行する辞書攻撃を行います。これは、多くのユーザーが初期設定を変更せずに利用しているというセキュリティ上の弱点を悪用したものです。
• マルウェアの実行
  ログインに成功すると、Miraiは感染したデバイスに自身のマルウェアをダウンロードし、メモリ上で実行します。再起動されるまで永続化されないため、通常の使用中は検出されにくい状態になります。
• ボットネットの形成
  感染したデバイスはC&Cサーバーと通信を開始し、ボットネットの一部として組み込まれます。これにより、攻撃者は数十万台規模のデバイスを遠隔から制御可能となります。

Miraiの感染は非常に効率的で、わずか数分で脆弱なデバイスを乗っ取ることができました。一度感染すると、デバイスは攻撃者の指示に従いますが、ユーザー自身が異変に気づくことはほとんどありませんでした。

大規模攻撃の実行：Dyn社へのDDoS

Miraiボットネットが特に注目されたのは、2016年10月21日に米国の主要DNSサービスプロバイダーであるDyn社を標的に行ったDDoS攻撃^※1です。

• 攻撃の仕組み
  DDoS攻撃は、多数のコンピューターから標的のサーバーに大量のトラフィックを送りつけ、過負荷状態にしてサービスを利用できなくするサイバー攻撃です。Miraiは、そのボットネットを利用して前例のない規模の攻撃を実行しました。
• 規模と影響
  この攻撃により、Twitter、Spotify、Netflix、Amazon、Redditなど、Dyn社のDNSサービスを利用していた多くの有名ウェブサービスが一時的に利用不能になりました。米国東海岸を中心にインターネットサービス全般に影響が広がり、最大で推定1.2 Tbpsのトラフィックが送信されたと報告されています。

MiraiはDyn社への攻撃以前にも、著名なサイバーセキュリティジャーナリストであるBrian Krebs氏のウェブサイト「KrebsOnSecurity」を大規模DDoSで停止 ^※2 させており、その脅威は世界的に認知されていました。

^※1 : https://flashpoint.io/blog/action-analysis-mirai-botnet-attacks-dyn/
^※2 : https://krebsonsecurity.com/2016/10/source-code-for-iot-botnet-mirai-released/

Miraiの影響と教訓

Miraiのソースコードは公開され、亜種や類似のマルウェアが作成されるようになりました。現在もIoTデバイスを狙ったボットネット攻撃は継続しており、深刻な脅威となっています。

Miraiボットネットが示した最も重要な教訓は、IoTセキュリティの脆弱性が個人や企業の問題にとどまらず、社会全体のサイバーレジリエンスを脅かす可能性があるという点です。この出来事は、IoTデバイスの製造者、利用者、政府機関に以下の重要性を認識させました。

• メーカー: セキュリティを考慮した製品設計（Security by Design）、デフォルトパスワードの廃止、ファームウェアの自動更新機能の導入。
• 利用者: デバイス初期設定の変更、不審な挙動の監視、定期的なアップデートの実施。
• 社会全体: 多数のIoTデバイスがサイバー攻撃の武器となりうる新たなリスクへの対応策検討。

Mirai事件は、単なる技術的インシデントではなく、複雑化するIoT社会におけるセキュリティ対策のあり方を考える重要な契機となりました。

IoTセキュリティの課題と難しさ

IoTデバイスが社会に実装される中で、その安全性を確保・維持していくことは多くの困難を伴います。これらの課題は、デバイス自体の性質、開発・運用体制、そしてビジネスモデルなど、多岐にわたる要因が複雑に絡み合って生じています。

デバイスの特性に起因する難しさ

IoTデバイスの多くは、限られたリソースの中で機能するように設計されています。この特性が、セキュリティ確保の障壁となります。

• リソースの制約: 小型・軽量化を追求するIoTデバイスは、CPUやメモリ、ストレージといったハードウェアリソースが限られています。このため、高度な暗号化や複雑な認証機能といった、セキュリティ強化に不可欠な仕組みを十分に実装することが困難な場合があります。
• インターフェースの欠如: 多くのIoTデバイスには、PCやスマートフォンのような画面やキーボードがありません。これにより、利用者が初期パスワードの変更やファームウェアのアップデートといった重要なセキュリティ設定を簡単に行うことができず、設定不備が放置されやすくなります。
• 長期にわたる運用と管理の煩雑さ: IoTデバイスは種類と数が膨大であり、耐用年数も長期間にわたります。この膨大な数の多様なデバイスを、ライフサイクル全体にわたって一元的に管理し、脆弱性情報を追跡し、継続的にセキュリティパッチを適用していくことは、非常に煩雑で人的・経済的な負担が大きいのが現状です。

サプライチェーンとビジネスモデルに起因する難しさ

IoT製品の開発から市場投入、その後のサポート体制に至るまで、サプライチェーン全体に関わる課題もセキュリティを阻む要因となります。

• セキュリティコストの軽視: IoT製品は、市場への早期投入と価格競争が重視される傾向があります。このため、メーカーはセキュリティ機能の強化よりも、コスト削減や新機能の追加を優先する場合があります。結果として、十分なセキュリティ設計や脆弱性評価が行われないまま出荷されるケースも少なくありません。
• ソフトウェア更新体制の不備: 製品販売後も継続的にセキュリティパッチを提供する体制が確立されていない場合があります。メーカーによっては、製品の販売が終了するとサポートが打ち切られ、既知の脆弱性が修正されないまま長期間残り続ける「レガシーIoT機器」が多数存在するリスクがあります。
• 多層的なサプライチェーン: IoTデバイスは、通信チップ、OS、ファームウェア、クラウドサービスなど、複数のベンダーが提供するコンポーネントで構成されています。この複雑なサプライチェーンの中で、特定のコンポーネントに脆弱性が見つかった場合、その影響範囲の特定や、迅速な修正対応が困難になる可能性があります。

運用・管理上の課題

IoTデバイスのセキュリティは、利用者や管理者の運用方法にも大きく左右されます。

• 利用者のセキュリティ意識の課題: 多くの一般利用者は、IoTデバイスを従来の家電製品と同様に捉えており、サイバーセキュリティの脅威を十分に認識していない場合があります。工場出荷時のデフォルト設定をそのまま利用したり、不審な挙動に気づかなかったりすることが、インシデント発生のリスクを高める可能性があります。
• 想定外の接続環境: デバイスが接続されるネットワーク環境は、家庭内Wi-Fiから産業用の閉域網まで多岐にわたります。開発者が想定していなかったネットワーク環境に接続された場合、デバイスのセキュリティが担保されない可能性があります。

これらの要素が複合的に作用することで、IoTデバイスの安全性を確保・維持することは、従来のITシステムとは異なる独自の難しさを持っています。サプライチェーン全体でのセキュリティ確保、長期的なサポート体制の構築、そして利用者への継続的な啓発が、IoT社会の安全を守るための重要な課題となっています。

近年のIoTデバイスを取り巻く脅威

近年、IoTデバイスを狙うサイバー攻撃は、その手口が多様化し、社会やビジネスに影響を及ぼすケースが増えています。以前はDDoS攻撃の踏み台として利用されるケースが多く見られましたが、近年では業務停止や社会インフラに関わる問題へと脅威が進化しています。

産業インフラを狙ったランサムウェア攻撃

近年のサイバー攻撃では、医療や製造業といった産業インフラが直接標的となる事例が増えています。

病院の医療用IoT機器（輸液ポンプ、患者モニタリングシステムなど）や製造工場の制御システムがランサムウェアに感染する事例が報告されています。攻撃者は、これらの機器の脆弱性を悪用してネットワークに侵入し、システムをロックして身代金を要求することがあります。その結果、データ漏洩に留まらず、手術や治療の遅延、生産ラインの停止など、業務や社会機能に影響を及ぼすリスクがあります。

2021年の米国で、病院のシステムがランサムウェア攻撃により停止し、患者の治療に影響が出た事例が報告されています。産業用制御システム（ICS）への攻撃は、社会インフラを人質に取る形で進化しています。
参考リンク: https://www.cisa.gov/news-events/cybersecurity-advisories/aa20-296a

サプライチェーンを狙った巧妙な攻撃

サプライチェーン全体に広がるIoTデバイスの脆弱性が、新たな攻撃対象となっています。

製造業者が提供するIoTデバイスに、開発段階で埋め込まれたバックドア（不正な侵入経路）が発見されることがあります。これは、サプライチェーン内部で悪意のあるソフトウェアが組み込まれた可能性を示唆しています。このバックドアが悪用されると、攻撃者はデバイスの利用者を経由して企業ネットワークに侵入し、機密情報を盗むなどのリスクがあります。一つのベンダーの脆弱性が、多数の企業やユーザーに連鎖的な被害をもたらす可能性もあります。

SolarWinds社のソフトウェアアップデートを悪用した攻撃は、ITサプライチェーン攻撃の代表的な事例であり、IoTサプライチェーンでも同様のリスクが指摘されています。

参考リンク：https://www.cisa.gov/uscert/ncas/alerts/aa21-008a

新規IoTボットネットの台頭とサイバースパイ活動

「Mirai」の脅威は薄れておらず、その亜種や新しいタイプのボットネットが継続的に観測されています。

最近のボットネットは、スマートテレビやデジタルサイネージ、車載インフォテインメントシステムなど、家庭や公共空間に普及したIoT機器をターゲットに感染を拡大させています。多くのデバイスがデフォルト設定のまま利用されているため、攻撃者にとって格好の標的となるリスクがあります。

また、国家が支援する可能性のあるサイバー攻撃グループが、IoTデバイスを標的にサイバースパイ活動や偵察を行うケースも報告されています。これにより、IoTデバイスは単なるDDoS攻撃の踏み台だけでなく、機密情報を盗む手段としても利用される可能性があります。

「Satori」や「Reaper」といったMiraiの亜種は、新たなIoTデバイスの脆弱性を利用して感染を広げました。また、BlackBerry社のレポートは、特定の国家が支援する可能性のある攻撃グループがIoTをサイバースパイ活動に活用している動向を分析しています。

参考リンク：https://blogs.blackberry.com/en/2021/04/threat-report-2021-a-deep-dive-into-iot-and-ot-cybersecurity

IoTデバイスセキュリティのまとめ

IoTデバイスは、家庭用のスマート家電から産業用制御機器、医療機器まで、あらゆる分野に浸透しています。その利便性の裏で、常にサイバー攻撃や不正アクセス、ボットネット化のリスクにさらされており、脆弱性は個人情報の漏えいだけでなく、社会インフラや人命に影響を及ぼすリスクがあります。

デバイス特有の課題

• リソース制約: 小型化や省電力化の設計では、暗号化や監視など高度な防御機能の実装が困難な場合があります。
• 長期間運用のリスク: 長寿命デバイスでは、脆弱性が発見されても更新がされない場合があります。
• 複雑なサプライチェーン: 多層化した部品供給網では、脆弱性や改ざんの混入段階を特定しづらい可能性があります。
• ユーザー管理の不十分さ: 初期設定のまま運用されることが多く、攻撃者に狙われやすい状況があります。

安全性確保のための対策

• Security by Design の徹底: 開発段階でセキュアコーディング、通信暗号化、認証・アクセス制御、更新の自動化などを実装
• 業界・社会全体での連携: 脆弱性情報の共有と対策推進
• 物理的耐タンパ設計: デバイスの改ざん防止

まずは無料相談から

サイバーディフェンス研究所ではIoTデバイスに特化したセキュリティ診断サービスを提供しています。IoTデバイスに内在するセキュリティ上の問題点を様々な角度から検証し、機器のセキュリティ向上及びお客様の品質管理の向上を支援します。まずはお気軽にご相談ください。