400億台のIoTデバイスがハッキングの危機に——
高度化するサイバー攻撃から守るための3つの方法とは

現在、世界で使われているIoTデバイスの数は400億台以上。急激な普及に伴って、経済産業省（以下、経産省）は「サイバーセキュリティ経営ガイドライン」を発表し、IoTデバイスのセキュリティリスクに関する警鐘を鳴らしています。IoTによってすべてがつながる超接続社会に向かうなかで、企業はどのような備えをすべきなのでしょうか。

NTTコミュニケーションズ（以下、NTT Com）でサイバーセキュリティ領域の事業を担当してきた城征司に、IoTデバイスにまつわるセキュリティリスクの現状と、NTT Comが提供する「安全につなぐ」「寄り添い続ける」「柔軟に組み合わせる」という3つの価値を軸にした施策について語ってもらいました。

---

IoTへのセキュリティ意識が高まらない理由とは？

経産省が定期的に発表している「サイバーセキュリティ経営ガイドライン」では「IoTデバイスに対するセキュリティ政策」が盛り込まれています。まずは、こうした啓発が積極的に行われていることの背景について見解を教えていただけますか。

城：IoTセキュリティに関して、いま対応を進めないと取り返しがつかないことになる。そんな「ギリギリのライン」に我々がすでに立っている証左だと考えています。

背景には、2つの理由があると考えています。1つめは、IoTデバイスの急激な普及です。今や家庭には当たり前のようにスマートスピーカーが設置され、老若男女が使うようになりました。また、家庭で使われるあらゆる家電にはセンサーがついていて、家事をアシストしたり生活のクオリティを高めてくれたりしています。工場や倉庫などの現場では在庫や温度、物流をセンサーによって把握し、データ化して業務改善に活用しています。

技術革新で「できること」が増え、製造コストも下がり、IoTデバイスとソリューションが、すでに生活のあらゆる場所に入り込んでいるわけです。総務省の「令和4年版 情報通信白書」によれば、世界のIoTデバイス数は、毎年10％ずつほどの右肩上がりで増え続けていて、2024年には400億台にまで届くとの予想値が示されていました。世界人口の５倍近くのIoTデバイスが世界にはすでにあるのです。世界人口の5倍近くのIoTデバイスが世界にはすでにあるのです。

こうした状況で重要になってくるのが、2つめの理由です。それは、IoTデバイスに対するセキュリティ対策の機運が醸成されていない、ということです。

PCやサーバーといったIT機器は、ウイルス対策や専用ソフトなどが普及するなど、セキュリティに関する人々の意識は高い一方で、IoTデバイスは、それらに比べて対策がおざなりになっていると言わざるを得ません。

――なぜIoTデバイスに関するセキュリティ意識は高まらないのでしょう？

城：一般的に、セキュリティの機運はどうしても普及から半歩遅れた状態になりがちです。IoTはまだ普及を優先する段階にあって、過渡期に立っているのでしょう。

また、IoTデバイスの中には、低価格で簡素なスペックのものも多いため、そもそもウイルス対策ソフトを入れることが難しい場合があるということも影響しています。

気軽ゆえに、企業の情報システム部も把握しないうちに社内に何台もIoTデバイスが導入されていた、なんてことも当たり前に起こり得ます。PCやスマホは基本的に情シス部門の管理下に置かれますが、IoTデバイスの場合は徹底が難しいかもしれません。しかし、そうしたIoTデバイスを放置していると、ハッキングされて被害を被るリスクが高まります。

――つまり、セキュリティの脆弱性が高いIoTデバイスが、世の中には大量に普及している状態であるにもかかわらず、その危険性があまり認識されていない状況にあるのですね。

城：はい。そして、IoTデバイスはサイバー空間だけではなくモノの「制御」にかかわるデバイスです。それだけに従来のIT機器とはまた違う、大きな被害を及ぼす可能性があります。

例えば、実世界の被害ではないのですが自動車を遠隔から不正操作するようなデモが行われたケースがあります。ちまたにあふれる監視カメラも、ハッキングによってデータが盗まれ、勝手に公開されてしまうという事態がすでに起こっていますよね。

また、最近目立つのが、IoTデバイスのボットネット化です。ボットネットとは、マルウェアなどの悪意あるプログラムを使ってネットワーク経由で遠隔地からIoTデバイスを乗っ取り、そこからスパム送信などの攻撃を行うサイバー犯罪です。

昨年末もある空港や、通信会社のWebサイトが突然ダウンしました。インターネット経由で、同時刻に大量のアクセスをかけてサーバーをダウンさせる、DDoS攻撃を仕掛けられたのが原因です。実はこの攻撃は、PCではなくIoTデバイスを乗っ取って行われたボットネットだった可能性が高かったそうです。

先に述べたように、ある種、野放しに大量のIoTデバイスがネットワークにつながっているので、サイバー犯罪者にしてみると「使いやすい」状態だったと言えます。

セキュリティ対策を打つための2つのポイント