2023年のIoTセキュリティ：知っておくべき12の重要洞察

多くの消費者はプライバシーを懸念します—防犯カメラが私的な瞬間を映し出すのではないか、スマートスピーカーが機密会話を拾うのではないか、と。しかし、これらの懸念はIoTデバイスが直面する真の脅威のごく一部に過ぎません。実際、攻撃者はIoTエンドポイントを、より大きな目的への踏み台と見なします：分散型サービス妨害（DDoS）攻撃の実行、企業ネットワークへの横展開、クリティカルインフラの侵害。

最近のDEFCONセッションで、Scythe CEO兼元陸軍サイバー研究所アドバイザーのブライソン・ボート氏が、過去1年間で最も重要なIoTおよび産業制御システム（ICS）トレンドを強調しました。

1. 国家レベルの帰属が増加

歴史的に、ほとんどのサイバー攻撃は組織犯罪に帰属していました。しかし、最近のVerizonデータ侵害調査レポート（2023）は明確なシフトを示します：国家関連アクターに関連する攻撃が増加し、純粋な犯罪グループによるものは減少しています。国家レベルの活動が活発になるにつれ、攻撃の起源を追跡する努力も強まり、各インシデントの地政学的動機を理解する必要性が高まっています。

2. IoTデバイスがピボットポイントになる

カメラがあなたを盗撮するという脅威は恐ろしいですが、攻撃者の主目的は通常、金銭的利益や標的型スパイ活動です。より現実的な脅威は、脆弱なIoTデバイスを悪用してネットワーク内で横方向に移動することです。マイクロソフトのセキュリティレスポンスセンターは、「Strontium」（APT 28/Fancy Bear）として知られる脅威アクターが、VoIP電話、プリンター、ビデオデコーダーを侵害して足がかりを得てから、より高い特権を持つアカウントをスキャンしたキャンペーンを文書化しています。

3. エアギャップは神話

インターネットから隔離されたとされるエアギャップネットワークは、脆弱であることが証明されています。ボート氏は、ペネトレーションテスト中に真にエアギャップされたシステムに遭遇したことは一度もないと述べています。Stuxnet攻撃が最も有名な例で、一見無害なUSBドライブを介してイランの核施設に侵入しました。

4. グリーンエネルギーがサイバー複雑性を追加

現代の電力網は再生可能エネルギーと分散型発電（ソーラーパネル、EV充電器など）を統合しています。この双方向フローには高度なコンピュータ制御が必要で、攻撃対象領域が拡大します。ボート氏はアナログシステムに戻るべきか疑問を投げかけますが、グリーンエネルギーへの移行はグリッドセキュリティを再構築しています。

5. クリティカルインフラ標的が増加

国家は産業制御システム—投票機、浄水場、電力グリッド—への侵害を強めています。米国、英国、イスラエル、ロシア、北朝鮮、イラン、さらにはベトナム（最近は外国の自動車企業を標的）が最も高度なサイバーアクターの一つです。

6. サイバー攻撃が孤立した政権の資金源に

報道によれば、サイバー作戦が閉鎖的経済の資金源になり得ます。例えば北朝鮮は、世界の金融機関と暗号資産取引所から20億ドルを吸い上げ、ミサイル計画に充てたとされます。米国は北朝鮮のミサイルシステムを無力化するサイバー兵器購入に数十億ドルを割り当てています。

7. 単一のマルウェアが数十億ドルの損害を与える

WannaCryとNotPetyaはIoT専用ではありませんでしたが、ランサムウェアの破壊的潜在力を示しました。NHSは19,000件の予約を失い9,200万ポンドのコストを負い、ある海運大手は2億〜3億ドルの損害を被りました。これらは単一の感染がいかにオペレーション全体を麻痺させるかを物語っています。

8. Trisisが新たな脅威時代を告げる

2017年に最初に特定されたTrisisは、フィッシングとウォータリングホール戦術でITシステムを侵害し、その後OTネットワークにピボットし、物理プロセスを直接制御する安全装置システム（SIS）を侵害しました。FireEyeはこの攻撃をロシア関連アクターに結びつけ、最近の報告では米国の電力インフラを標的にしていると示唆されています。

9. クリティカルインフラキャンペーンが拡大

大規模インフラ攻撃はまだ稀ですが、インテリジェンスは多くの組織が重要資産への侵入を積極的に試みていることを示しています。これらのキャンペーンは反復的で、即時の破壊ではなく長期的なアクセス獲得を狙うことが多いです。

10. ランサムウェアがIoTデバイスを標的にする可能性

研究者たちは様々なIoTデバイスに対するランサムウェアを実証していますが、主流の攻撃は従来のコンピューティングプラットフォームに集中しています。ボート氏は5年以内に、スマート車両、ホームオートメーション、その他の接続デバイスへランサムウェアが拡大し、システムロック解除のために暗号資産支払いを要求する可能性を予測しています。

11. サプライヤーがリスクモデルの不可欠な一部

サプライチェーン脆弱性がトップ懸念事項になりました。Bloombergが大手中国製サーバーマザーボードサプライヤーの侵害を報じた件は議論を呼びましたが、主要テック企業によって争われました。ボート氏は、ハードウェア、ファームウェア、ソフトウェアを問わず、インフラに触れるあらゆるコンポーネントをリスクプロファイルの一部と見なすべきだと強調します。

12. データ収益化がIoT販売を牽引

スマートデバイスが低価格または無料で提供されるのは、メーカーがテレメトリデータを収益化するためです。ボート氏は、スマートテレビが非スマートより安いのは、視聴習慣、位置情報などのユーザーデータを売却するからだと指摘します。Business Insiderは自動車製造でも同様のデータ収集が行われていると報じています。米中経済安全保障調査委員会の報告は、中国系IoT企業が米国消費者データにますますアクセスし、国家安全保障上の懸念を生んでいると警告します。

まとめると、2023年のIoT脅威ランドスケープは、国家レベルのアクター、サプライチェーンリスク、進化するランサムウェア戦術が支配しています。デバイスを守るには、セキュアなデバイス強化、サプライチェーン審査、ネットワークセグメンテーション、継続的監視という多層的アプローチが必要です。