半径300メートルのIT：政府主導の“対民間”サイバー攻撃？　物議を生む「NOTICE」を実行せざるを得ない、国内の深刻な事情 (2/5)

ここはインターネットという名の無法地帯

　IT業界では、このような“インターネットにさまざまなデバイスがつながっている状態”を「IoT」と呼び、IoTを構成するデバイスを「IoTデバイス」と呼ぶことがあります。そして、今IoTデバイスが“サイバー犯罪者”からどう見えているかというと……実は、あまり良い状況とはいえないのです。

　そもそもIoTデバイスの特徴は、簡単に言えば、「PCほど高機能ではないものの、インターネットに常時つながり、他のデバイスやPCともつながっている」という点。実はこの点こそ、攻撃者が狙うには十分過ぎるほど“おいしい”条件なのです。

　サイバー犯罪者はどのようにしてIoTを探し、攻撃するのでしょうか？　IoTデバイスの多くは、いわば「一般の家電にインターネット機能を追加したもの」。この点で、例えばPCやスマートフォン、ネットワーク機器のような、いわば“セキュリティとは最初から切っても切れない分野”から生まれた機器と比べて、根本的に異なる問題を抱えています。

　これまで多くのIoTデバイスが、インターネットという“無法地帯”を切り抜けるためのセキュリティ機能や性能を持たないまま、脆弱（ぜいじゃく）な状態で大量にリリースされてきました。

　こうした点を、サイバー犯罪者は利用します。例えば、1つの攻撃手法を無差別に仕掛けるだけでも、それがたまたまIoTデバイスに到達すれば、苦もなく攻撃が成立してしまいます。もちろん、最初から目標の端末を定め、一般の検索エンジンで“ググる”こともあります。

　また、こうした攻撃の“前段”として、IoTデバイス攻撃に使えそうな脆弱性がないかをチェックする「ポートスキャン」と呼ばれる作業もよく行われます。さらに言えば、あるIoTデバイスのパスワードが初期設定のまま使われているような場合、わざわざ脆弱性を利用するまでもなく、初期パスワードを使って正面からログインし、コントロール権限を掌握できてしまうという事例もあるのです。

　情報通信研究機構（NICT）は2019年2月、インターネット上の調査観測を行うインシデント分析センター「NICTER（Network Incident analysis Center for Tactical Emergency Response）」による、2018年の観測結果をレポートとして公開。そこでは、セキュリティ上無視できない事実が浮かび上がってきました。