IoTデバイスの脆弱性がスマートホームを攻撃にさらす：認証情報漏洩の脅威

牛乳が切れると知らせるスマート冷蔵庫から、使用状況をスマホでグラフ化するサーモスタットまで、モノのインターネット（IoT）デバイスは現代の家庭の定番となりました。Barracuda NetworksのCTO、フレミング・シイ氏によれば、パーソナルコンピューター、電話、タブレット、ルーター以外のネットワークに接続する消費者デバイスはすべてIoTデバイスとみなされます。

接続性が利便性を広げる一方で、新たなセキュリティリスクももたらしました。Barracuda Labsの最近の研究は、新たな脅威を実証しました：IoT認証情報漏洩。攻撃者がWebアプリとモバイルアプリの脆弱性を悪用して認証情報を窃取し、デバイスをリモートで制御します。

IoT認証情報漏洩

一度デバイスの認証情報を入手すれば、攻撃者はビデオフィードの閲覧、アラーム設定の変更、クラウド保存映像の削除、さらには同一ネットワーク上の他デバイスへのピボット攻撃に使える悪意あるファームウェアのプッシュまで可能になります。

サンプルセキュリティカメラの脆弱性プロファイル

接続型セキュリティカメラの分析で、そのWebおよびモバイルアプリエコシステムに以下の弱点が見つかりました：

• モバイルアプリが無効なサーバー証明書を受け入れる
• Webアプリにクロスサイトスクリプティング（XSS）脆弱性
• クラウドサーバー上のファイル・トラバーサル欠陥
• ユーザーがデバイス更新URLを指定可能
• ファームウェア更新が未署名
• デバイスがサーバー証明書検証を無視

これらの欠陥を用いて、チームは物理的な近接を一切必要とせず、完全な認証情報抽出とデバイス侵害の連鎖を実証しました。

モバイルアプリ経由での認証情報窃取

悪意あるWi-Fiホットスポットを設置することで、攻撃者はモバイルアプリとベンダーサーバー間のHTTPSトラフィックを傍受できます。アプリがサーバー証明書を検証しないため、攻撃者のプロキシがユーザーパスワードの無塩MD5ハッシュを取得できます。

Webアプリ経由での認証情報窃取

多くのIoTベンダーがメールによるデバイス共有を許可しています。攻撃者はデバイス名にXSSを仕込み、被害者と共有。被害者がログインするとアクセストークンを窃取でき、被害者のアカウントとリンクされた全デバイスを完全制御下に置けます。

これらの発見は、IoTデバイスがベンダーのクラウドインフラのみを通じて完全に侵害され得ることを示しています。Shodanのような従来型スキャンツールは不要です。脅威は、クラウドベース認証に依存するあらゆるデバイスに及びます。

IoTメーカーへの示唆

デバイスメーカーは、モバイルアプリ、Webインターフェース、バックエンドサービスを含むすべてのソフトウェア面を保護しなければなりません。主要対策には：

• Webアプリケーションファイアウォール（WAF）導入でレイヤー7攻撃を防御
• ネットワーク層防御とフィッシング対策の強化
• 署名付きファームウェア更新の実装とサーバー証明書検証の強制
• 可視化、保護、迅速な修復のためのクラウドセキュリティベストプラクティス採用

消費者保護のヒント

IoT機器購入時、価格と利便性に加えセキュリティを優先すべきです：

• ベンダーのセキュリティ実績を調査
• 同社他製品の既知脆弱性を確認
• 報告された問題へのベンダー対応速度を評価

IoTデバイス数の増加にもかかわらず、公開されているセキュリティ評価は依然として稀です。将来的には、自動車の安全性評価のように、すべてのIoT製品が標準化された安全性格付けを受ける世界が、消費者の情報に基づいた意思決定を支えるでしょう。

著者：フレミング・シイ、CTO、Barracuda Networks