IoTデバイスのセキュリティ入門｜スマート家電を安全に使うために

家の中を見回すと、ネットワークカメラ、スマートスピーカー、Wi-Fiルーター、スマート家電など、インターネットにつながる「モノ」がどんどん増えています。これらをまとめて「IoT（Internet of Things）デバイス」と呼びます。便利な一方で、パソコンやスマホほどセキュリティ対策が意識されにくく、実は攻撃者にとって「狙いやすい入り口」になっていることをご存じでしょうか。

なぜIoTデバイスは狙われやすいのか

IoTデバイスは、パソコンやスマホと違って「買ってきて電源を入れたらすぐ使える」手軽さが魅力です。ですが、その手軽さの裏には次のような事情があります。

• 常時インターネットに接続されている：24時間つながりっぱなしなので、攻撃者はいつでもアクセスを試せます。
• 画面や操作パネルがない機器が多い：セキュリティ設定を見直す機会がほとんどなく、初期設定のまま使い続けられがちです。
• 台数がとにかく多い：家庭内だけでもカメラ・スピーカー・ルーター・スマートロックなど複数台あることが珍しくなく、1台でも弱い機器があればそこが侵入口になります。
• 利用者がセキュリティを意識しにくい：「家電」という感覚が強く、パスワードやアップデートの重要性がパソコンほど浸透していません。

攻撃者から見れば、IoT機器は「数が多く」「守りが甘く」「常時稼働している」という、まさに好都合な標的なのです。

よくある弱点（脆弱性）

家庭のIoT機器で特に多い弱点は、次の3つに集約されます。

弱点	具体例	なぜ危険か
初期設定のパスワード	「admin / admin」「1234」など出荷時のまま	攻撃者は既知の組み合わせをリスト化して機械的に試せる
ファームウェアの未更新	発売時のソフトウェアのまま使い続ける	公開済みの脆弱性が放置され、既知の手口で侵入されやすい
不要なポート・機能の公開	リモートアクセスやUPnPが有効なまま	外部から機器に直接アクセスできる「抜け道」になる

これらはどれも目立たない設定ですが、マルウェアに感染したIoT機器は、持ち主が気づかないまま攻撃の踏み台にされてしまいます。

事例で学ぶ：Miraiボットネット事件

IoT機器の危うさを世界に知らしめたのが、2016年に発生した「Mirai（ミライ）」ボットネットです。Miraiは、初期設定のまま放置されたネットワークカメラやルーターなどを狙い、わずか61通りのID・パスワードの組み合わせを機械的に試すだけで次々と機器を乗っ取りました。

2016年10月、Miraiに感染した大量のIoT機器が、米国のDNS事業者Dynに向けて一斉に攻撃（DDoS攻撃）を仕掛けました。その結果、Twitter・Netflix・Reddit・PayPalなど米国内外の主要サービスが数時間にわたってアクセスしづらい状態になりました。攻撃元をたどると、その多くが家庭用のネットワークカメラやルーターだったことが判明し、「身近な家電がサイバー攻撃の兵器になり得る」という事実が世界中に衝撃を与えました。

日本の取り組み：NOTICEプロジェクトとルール整備

こうした被害を防ぐため、日本でも対策が進んでいます。総務省・情報通信研究機構（NICT）・ICT-ISAC Japanは2019年2月20日から「NOTICE（National Operation Towards IoT Clean Environment）」という取り組みを開始しました。これは、Miraiが悪用したのと同じような、よく使われる初期設定のID・パスワードの組み合わせを使って、インターネットから外部アクセス可能な国内のIoT機器を実際に調査し、脆弱な機器が見つかった場合はインターネットサービスプロバイダ（ISP）を通じて利用者に注意喚起する仕組みです。

海外でも規制が強化されています。EU（欧州連合）では「サイバーレジリエンス法（Cyber Resilience Act）」が2024年12月に発効し、IoT機器を含む「デジタル要素を持つ製品」に対してセキュリティ要件を義務付けています。特に、悪用が確認された脆弱性や重大なインシデントをメーカーが24時間以内に報告する義務は2026年9月11日から適用が始まる予定で、IoT機器メーカーの対応が大きな注目を集めています。

家庭のIoTデバイスを守る5ステップ

むずかしい専門知識がなくても、次のステップを押さえるだけで多くの被害は防げます。

このほか、多要素認証が使える機器では必ず有効にし、ファイアウォールやセキュリティソフトでネットワーク全体を守るのも効果的です。外出先から自宅の機器にアクセスする際は、VPNを使うとより安全です。

まとめ

• IoT機器は「常時接続」「台数の多さ」「見直されにくい初期設定」から、攻撃者にとって狙いやすい標的になっている
• 2016年のMiraiボットネット事件は、初期設定のままの家庭用カメラやルーターが大規模DDoS攻撃に悪用された象徴的な事例
• 日本では総務省・NICTなどによる「NOTICE」、EUでは「サイバーレジリエンス法」など、メーカー・利用者双方への対策が進んでいる
• 家庭でできる基本は「パスワード変更」「ファームウェア更新」「不要機能の停止」「ネットワークの分離」「購入前チェック」の5つ

もう少し詳しく（背景）

Miraiを作ったのは、当時学生だった3人組でした¹。もともとはMinecraftサーバー運営者向けのDDoS攻撃代行ビジネスで優位に立つための私的なツールだったとされていますが、感染規模が想定を超えて拡大し、結果的にインターネット全体を揺るがす事件になりました。ソースコードが公開されたことで模倣犯が相次ぎ、亜種は現在に至るまで観測され続けています²。

日本のNOTICEプロジェクトは、Miraiが使ったのと同種の手口（よくある初期設定ID・パスワードでの接続試行）を、国が「攻撃者より先に」実施して脆弱な機器を洗い出すという、逆転の発想に基づく珍しい取り組みです³。EUのサイバーレジリエンス法も、事後対応ではなく「安全な製品しか市場に出せない」ようにする、設計段階からのセキュリティ（Secure by Design）を重視する流れの一環です。

関連記事もあわせてご覧ください。

• サイバーセキュリティとは？いちばんやさしい最初の一歩
• パスワードの基本
• 多要素認証（MFA）とは
• アップデート・パッチ管理の基本
• マルウェアの種類を知ろう
• ファイアウォールとセキュリティソフトの違い

Footnotes

1. Mirai開発の中心人物であるParas Jha氏ら3人は2017年12月に罪を認め、司法取引に応じています。 ↩

2. ソースコードは2016年9月末頃、ハッキングフォーラムに公開されました。以後、多数の亜種が確認されています。 ↩

3. NOTICEの実施にあたっては、電気通信事業法およびNICT法の改正により法的根拠が整備されました。 ↩