スマディスもスマートホームガジェットもあぶないの?
IoT（モノのインターネット）デバイスのセキュリティと言えば、総務省が、注意喚起を図るために無差別攻撃をしかけて調査するというプロジェクトが物議をかもしましたよね。これは、すでに実施されていて、先日その結果も発表されたばかりです。 スマートディスプレイやスマートホームガジェットはセキュリティ的に大丈夫なの？そんな疑問を専門家にぶつけてみました。米Gizmodo編集部のDavid Nieldがセキュリティ関係の専門家にインタビューした記事の翻訳をご覧ください。
もうとっくに削除されていますが、サムスンが自社のスマートTVに対してウイルス対策スキャンを実行したほうがいいとツイートして大騒ぎになりましたね。スマートTVがマルウェアに攻撃されるなんてこと、あるんでしょうか。PCのようにウイルスに感染する家庭用スマートデバイスって、どのくらいあるんてしょうか。そんな疑問を専門家にぶつけてみました。
お話をうかがったのは、AvastのIoTセキュリティ研究者ヴラチスラヴ・イリューシン氏と、シマンテックのセキュリティ研究者カンディード・ウェスト氏です。家庭用スマートデバイスのセキュリティに詳しいおふたりに、スマートスピーカー、テレビ、Alexa対応電子レンジなどがウイルスに感染することはあるのかと訊ねてみました。結論から言うと、｢それほど単純な話ではありません｣という、なかなか困った答えです。
まずは｢用語｣を確認しておいたほうがよさそうです。家庭用スマートデバイスは、ウィルス感染でなく｢ハッキング｣の被害を受けることがある、と言ったほうがいいでしょう。スマートホームガジェットで言うと、防犯カメラに、そのリモートアクセス機能を利用して侵入する行為などを指します。この場合、ハッカーは基本的に、デバイスにもともと内蔵されている機能を悪用しているにすぎません。
つまり、ハッキングというのは、WindowsやmacOSで言うウイルス感染とは違うということです。ウイルス感染とは、悪意のあるプログラムがデバイスにインストールされ、その機能を実行されてしまうことを言います。家庭用スマートデバイスで同じことをするのは難しく、起きる確率は低いのですが、起きてしまえば、ウイルスを仕込んだ攻撃者にIoTデバイスを好きなように操作されてしまう可能性があります。
｢IoTデバイスを狙って作られたマルウェアはさまざまで、｢Mirai｣ワームがその代表です。ルーターから防犯カメラまで、いろいろなデバイスに侵入できます。Androidスマートフォンを狙ったマルウェアがスマートTVに侵入することもありえます。OSにAndroidを使っていれば｣。シマンテックのウェスト氏は、メールでこう説明してくれました。
Miraiワームは、ルーターやWi-Fi接続カメラなどIoTデバイスを狙う典型的なマルウェアとして、2016年にかなり話題になりました。セキュリティ設定がデフォルトのまま変更されていないスマートデバイスがあると、それに侵入してボットネットを構築します。このボットネットが、分散型サービス拒否（DDoS）攻撃に利用されて、ウェブサイトやサーバーが被害を受けるというわけです。DDoS攻撃は、ハッカーがスマートデバイスをマルウェアで狙おうとする大きい動機のひとつになっています。
もうひとつ、気をつけたほうがいいのが、中間者攻撃（MITM）と呼ばれる攻撃です。ハッカーは、デバイスとウェブの間の通信を傍受します。ただし、これを可能とするには被害者のWi-Fiネットワークに接続するか、被害者をだまして有害なアプリをインストールさせなければなりません。
Avastのイリューシン氏によれば、
｢IoTデバイスのほとんどは、いってみれば、性能を絞ったLinuxコンピューター。だから、IoT向けに作られたマルウェアの本体がスマートデバイスで動くことは間違いありません。IoTを狙って、中間者攻撃をしかけることだってできます。ルーターに潜伏して、発信されるトラフィックを傍受すれば、パスワードなどの情報な情報をさぐり当てられるわけです｣
でも、家じゅうのスマートデバイスを片っ端からオフにするのは、ちょっと待って。スマートデバイスでマルウェアが動くからといって、リスクが高いとは限りません。ここまでに説明したような攻撃をしかけるには、何らかの形でアクセスが必要で、それを防ぐのは難しくないからです。
・セキュリティの甘いIoTデバイスにマルウェアが侵入する
・家庭のWi-Fiネットワークにアクセスする
・IoTデバイスそのものに触れる
・ユーザーをだましてソフトウェアをインストールする
以上4つのいずれかです。
厄介な話ですけど、過剰にあわてることはありません。最新のソフトウェアに更新したセキュアなデバイスを使い、知らない人を家に入れたり、Wi-Fiのパスワードを教えたりしていなければ、大丈夫。
そして、マルウェアの攻撃は、対象となるスマートデバイスのタイプによって違ってきます。デバイスごとに詳しく見てみましょう。
デバイス別の脅威
スマートTVは、アプリを実行したりウェブにアクセスしたりするので、ウイルスに対して脆弱なのは確かです。ただ、マルウェア作成者の意図は一律ではなく、実際にスマートTVを狙っているのか、ユーザーをだまして怪しいソフトウェアをインストールさせようとしているのかは、わかりません。だから、怪しいアプリをインストールせず、テレビのソフトウェアが無防備にウェブにつなぎっぱなしになっていない限り、IoT攻撃の被害を受ける心配は（おおむね）ないはずです。
｢スマートTVのマルウェア被害は、まだごく多くありません。コンピューターに比べれば、ユーザーが次々と新しいアプリケーションをインストールしたり、メールで怪しい添付ファイルを開いたりすることはないからです。攻撃経路は、インターネットからアクセスできる公開のサービスに限られています｣
ウェスト氏はこう話しています。
スマートスピーカーはどうでしょう。これまでは、ほとんどマルウェアの標的になっていませんが、不可能というわけではありません。｢Amazon Echo｣を密かに盗聴器にするAlexaスキルとか、Echoや｢Google Home｣のスピーカーを無防備にするBluetoothの脆弱性（ただし、攻撃するにはBluetoothの届く範囲に入る必要がある）も見つかっています。どちらも、すでにパッチが公開されていますが、どんな穴があるか予想はできません。
これに関するイリューシン氏の回答はこうです。
｢理論上は可能ですが、実際にスマートスピーカーを狙ったマルウェアはまだ確認されていません。悪用は容易で、ユーザーをだまして音声ファイルを再生させることもできますが、出てくるとすれば、もっと高度な手口が予想されます｣
防犯カメラについては、すでに述べたとおりです。デフォルトのままセキュリティ設定が甘いと特に、危険な可能性があります。シマンテックによると、IoTデバイスに対する攻撃で2番目に多い標的で、昨年は15%が防犯カメラを狙ったものだったといいます（1番目はルーターで、75%を占めました。皆さんも、ルーターのセキュリティ設定をお忘れなく！）
スマート照明やスマートコンセントとなると、マルウェア作成者もまだ目をつけていない、というのが、セキュリティ専門家ふたりの一致した見解です。しかも、ウェブにはスマートハブを介して接続することが多いため、セキュリティ層が増え、マルウェアにとってはそれだけ障壁が増えることになります。
｢スマート電子レンジやスマートケトル…はもっと特殊で、あるとすれば、ほかのデバイスを狙った攻撃の偶発的な被害でしょう。こうしたデバイスを意図して狙うマルウェアは、まだそれほど一般的ではありません。サイバー犯罪者は、金銭的に利益を得ることが目的であって、電気を消して困らせるだけでは意味がないからです｣
というのが、ウェスト氏の回答です。
家の中を安全に
家庭用スマートデバイスをマルウェアから守るなら、ウイルス対策スキャンをかけっぱなしにすればよいというものではありません。むしろ、最初からセキュリティ設定をしっかりしておき、ホームネットワークのゲートウェイ（ルーター）をリモート攻撃から適切に保護することのほうが大切です。シマンテックのデータが示すように、IoTに対する攻撃の4分の3はルーターを狙ったもの。それを忘れないようにしましょう。
デバイスを買うときは、セキュリティ意識が高い大手メーカーに限るというのもいい判断です。当然、それで無敵というわけにはいきませんが、AmazonやGoogleのような大手は、自社のスマートデバイスをハッキングやウイルスに対して無防備なままにしておくのはセールスやマーケティング面でも下策だと承知しています。だからそういう企業は最大限の努力を払ってハッキング阻止をするのですね。
Avastとスタンフォード大学が行なった最近の研究によると、全世界1,600万世帯の家庭をサンプルに調べたところ、外から丸見え（つまり、Wi-Fiの届く範囲外でも見えている）のルーターが3%あったといいます。その半分が｢既知の脆弱性がある、またはパスワードが弱い｣状態でした。ということは、まっ先に攻撃を受けそうな家庭が、なんと24万世帯もあるということです。
肝心なのは、その仲間入りをしないこと。最新のルーターは、新しいパッチが公開されると自動更新するように設定されているので、実際には何もしなくていいのですが、ダブルチェックすればなお安心です。その方法については、ルーターのメーカーや、インターネットサービスプロバイダーの情報が参考になります。
スマートデバイスにインストールされているアプリも同じです。アップデートに気づいたらすぐに適用しましょう。パスワードをデフォルトのまま使うのは論外ですし、他のサービスで使っているパスワードの使い回しも避けてください。
スマートTVのアプリや、スマートスピーカーのスキルについては、公式のサイトから、また肯定的なレビューが付いているのを確認してからインストールするようにしましょう。実態も開発元もよくわからないソフトウェアは、実行する前によくよく考えてください。また同じように実態もよくわからないハードウェアを家庭に引き入れるのも、考えたほうがよさそう。
最後に、イリューシン氏の言葉を引用しておきます。
｢デバイスのメーカーは、そもそも製品の設計段階で万全のプライバシーとセキュリティを確立することでユーザーを保護する責任があります。全世界に存在するデバイスの90%はベンダー100社が作っていて、ユーザーの安全はこれらの企業の肩にかかっているのです｣
