研究者らが警告：拡大するIoTセキュリティ脅威

IoTセキュリティの課題は、メーカーが製品を急いで市場投入する際にセキュリティ・バイ・デザインを放棄することに大きく関係しています。

セキュリティは長らくIoTプロジェクトの問題でしたが、事態はさらに深刻化しています。最新のIBMセキュリティレポートによると、記録されたIoT脆弱性が5年前と比べて5,400%増加しています。

「IoTデバイスの欠陥とセキュリティホールは、組織と消費者を、インターネット接続デバイスの大規模ボットネットに対して脆弱な状態に置きます」とIBM研究者らは報告しています。脅威の始まりは2016年のMiraiボットネットに遡り、「インターネット全体に混乱をもたらし、組織がこの種の脅威を認識する最初の大きな警鐘となりました。以来、Miraiのコードを利用したAidra、Wifatch、Gafgytなどの後継や、BCMUPnP_HunterやToriiボットネットなどの新参者が、数十万台のデバイスへのアクセスを蓄積し、DDoS攻撃マルウェア、コインマイニングマルウェア、スパムを拡散しています。」

関連記事：またも消費者向けIoTデバイスで重大なセキュリティ脆弱性発見

研究者らは「2019年以降も、ルーター、CCTVカメラ、スマートメーターやグリッドなどのIIoT接続デバイスなど、消費者向けデバイスが攻撃対象となり続ける」と予測します。課題は「メーカーが製品を急いで市場投入する際にセキュリティ・バイ・デザインを放棄すること。攻撃者は、同じ脆弱性を持つ大量のデバイスを悪用できるため、それらの製品を格好の標的とします。」また、「管理者がデフォルトパスワードを変更せず、脆弱なデバイスをパッチ適用しないことも、来年より多くの組織がこれらのセキュリティ基本事項を優先しない限り、デバイスの脆弱性を開くことになります。」スマートシティ技術、「インテリジェント輸送システム、災害管理、IIoT」も脆弱性の領域です。

別の業界レポートもIoTデバイスセキュリティに警鐘を鳴らしています。セキュリティベンダーのカスペルスキーは、2019年上半期だけでスマートデバイスへの攻撃を最大1億500万件検知したと発表。同社はハニーポット（さまざまなインターネット接続デバイスとアプリケーションの仮想コピーで構成される偽装ネットワーク）を用い、この期間に276,000のユニークIPアドレスからIoTデバイスへの攻撃を検知しました。

この数字は、2018年上半期に検知された1,200万件の攻撃（69,000 IPアドレス由来）の7倍にあたります。「IoT製品の弱いセキュリティにつけ込み、サイバー犯罪者はIoTボットネットの構築と収益化を強化しています。」

カスペルスキーのハニーポットで収集したデータ分析によると、「IoTデバイスへの攻撃は通常高度ではなく、ステルス的です。ユーザーは自分のデバイスが悪用されていることに気づかない可能性があります。ボットネットは古い未パッチの脆弱性をすり抜けてデバイスを制御します。もう一つの手法はパスワードの総当たり攻撃です。」

カスペルスキーは、IoT管理者とユーザーに対し、ファームウェアアップデートを利用可能になったら即座にインストールするよう勧告しています。「常にプリインストールされたパスワードを変更してください。」また、「デバイスが奇妙な挙動を示したら即座に再起動してください。既存のマルウェアを排除できる可能性がありますが、再感染のリスクを減らすものではありません。」