スマートホーム ― 壊れた安全神話

認証ラベル付きのIoT機器の脆弱性に振り回された会社員の物語です

田中健太は都内のIT企業に勤める32歳のシステムエンジニア。普通のサラリーマン生活を過ごしてきたが、ある朝、田中の自宅に警察官が令状を持って突然訪問してきた。

「サイバー犯罪対策課の者です。お宅のインターネット回線について、お話を伺いたいことがあります」。

さかのぼること半年前・・・

田中は自宅のスマートホーム化を進めていた。田中の勤め先は週の半分、在宅勤務が許可されてる。だから自宅も快適なネット環境が必要不可欠だ。彼はIT機器を購入する際、「JC-STAR認証」の有無を確認した。彼が買ったスマートカメラ、ネットワーク対応照明、Wi-Fi中継器。すべてJC-STAR認証取得製品だ。機器のデフォルトパスワードを変更し、「ネットワークセグメント」を分離した。

「やるべきことはやったな！」田中は満足した。

しかし、田中は運が悪かった。

田中が購入したスマートカメラは、認証後に「ゼロデイ攻撃」の標的になる脆弱性が発見された。メーカーは修正パッチをリリースしたが、自動更新機能はない。ユーザーが手動で更新する必要があった。更新を促すメールは、自動的に迷惑メールに振り分けられていた。

田中は完全にメールを見逃していた。

攻撃者グループは、脆弱な「IoT機器」を探す「bot」を展開した。田中のスマートカメラも、攻撃者の標的リストに含まれていた。

ある夜、攻撃者はゼロデイ攻撃を悪用してスマートカメラに侵入した。「マルウェア」を注入した。感染した機器はbotとなり、「C&Cサーバー」からの指令を待つ。田中の自宅カメラが、攻撃者の操り人形になった瞬間だ。

クリスマス商戦真っ只中の12月、大手ECサイトを運営する「メガストアジャパン社」のサーバールームで、「AWS CloudWatch」のアラートが発報した。そして、ほどなくてECサイトはダウンした。ECサイトはメガストアの売上の大半を担う販売チャネルだ。サーバーダウンの影響は計り知れない。アラート閾値の設定は50,000リクエスト/秒以上としているが、今回は1,000,000に達した。もともとクリスマスは、利用者からのアクセスが多い時期だが、これは異常だ。

事態を重く見たメガストアジャパンは、「CISO」をリーダーとする「CSIRTチーム」を立ち上げた。

調査した結果、やはり「DDoS攻撃」だった。攻撃元は、日本全国に散らばる約30万台のIoT機器。それぞれがbotとなり、一斉にECサイトを攻撃した。対策チームは、WAFの設定を強化するなどの対策を講じることでサイトを復旧させた。結果的にサイトは4時間半にわたって停止し、推定機会損失は5,000万円にのぼった。

後日、メガストアジャパンによるアクセスログの調査で、攻撃に使用された「IPアドレス」のリストが作成された。そこに田中の自宅IPアドレスも含まれていた。

翌日、警察官2名が田中の自宅を訪問した。「デジタルフォレンジック」が実施され、スマートカメラは押収された。解析の結果、マルウェア感染が確認された。

田中は、被害者だが、加害者でもあった。

翌年1月、田中の元に内容証明郵便が届いた。差出人は「株式会社メガストアジャパン 法務部」。「損害賠償請求の予告通知」と書かれていた。

田中はIT法務に詳しい弁護士に相談した。田中は「JC-STAR認証製品を選び、初期設定を適切に行った。わたしに過失はない」と説明した。結局、田中が支払う金額は30万円（見舞金という名目）で、メガストアと和解した。

それから1年後。田中の自宅には、もうスマートカメラはない。IoT機器は必要最小限にした。そして、すべての機器で毎月「ファームウェア」の更新を確認している。サイバーセキュリティから守るのは、技術だけでなく、人間の継続的な注意と努力が必要ということを思い知った。それは、便利さの裏にある、代償でもあった。

用語解説

• JC-STAR認証： 総務省が推進するIoT機器のセキュリティ適合評価制度。一定基準を満たした製品に認証ラベルが付与される。
• ネットワークセグメント： ネットワークを小分けにし、侵害時の影響を限定するセキュリティ構成。
• ゼロデイ攻撃： 脆弱性が修正される前に行われる攻撃。
• 迷惑メール： 受信者の意思に反して一方的に送られてくる電子メールのことで、スパムメールとも呼ばれる。
• IoT機器： スマート家電など、インターネットに接続される物理デバイス。
• bot： マルウェア感染後、攻撃者の命令を受けて動作するプログラム。
• マルウェア： 悪意のあるソフトウェア。感染や情報窃取などを行う。
• C&Cサーバー： 攻撃者がbotを遠隔操作するためのサーバー。
• AWS CloudWatch： AWSのリソース監視サービス。
• リクエスト：サーバーに情報や処理を求める「要求」のこと。
• CISO： Chief Information Security Officer（最高情報セキュリティ責任者）。
• CSIRTチーム： セキュリティ事故への初動対応と原因究明を担う組織。
• DDoS攻撃： 複数の感染機器から一斉に攻撃を仕掛け、サービスを妨害する攻撃。
• WAF： 「Web Application Firewall」の略であり、Webアプリケーションへの不正なサイバー攻撃を防ぐために開発された専用防御ツール。
• アクセスログ： サーバーやネットワーク機器、Webサイトに対して行われたリクエストや接続履歴を記録したデータ。
• IPアドレス： インターネット上の機器を識別するための番号。
• デジタルフォレンジック： サイバー犯罪調査のためにデジタル証拠を分析する技術。
• ファームウェア： 機器を制御する基本ソフトウェア。脆弱性修正のため更新が重要。

※この物語に登場する「メガストアジャパン」およびその他の団体名・人物名はすべて架空のものであり、実在の企業・団体・個人とは関係ありません。