【ITニュース解説】Your Smart Home is Betraying You: How to Secure IoT Devices (Cameras, Speakers, Kettles)

スマートホームデバイスは、私たちの生活に計り知れない便利さをもたらしている。スマートプラグで家電を遠隔操作したり、防犯カメラで家の様子を確認したり、スマートスピーカーで音楽を流したり、情報収集をしたりと、多くの人がその恩恵を受けていることだろう。しかし、その便利なデバイスの裏側には、見過ごされがちな大きなセキュリティリスクが潜んでいる。購入時には利便性やエンターテイメント性が重視されがちだが、実はそのカメラが知らない誰かの「のぞき見窓」になったり、スピーカーが「Hey Google」以外の私たちの会話、例えばクレジットカード情報までも盗聴している可能性もゼロではないのだ。これはSF映画のような話ではなく、セキュリティ対策が不十分なまま運用されている多くのIoT（Internet of Things）デバイスが抱える現実的な問題である。

IoTデバイスが本質的に悪いわけではない。問題は、これらのデバイスが低コストで簡単に設定できることを最優先に設計されており、セキュリティが二の次になっている場合が多いことだ。そのため、IoTデバイスは私たちのホームネットワークにおいて最も脆弱な部分となりがちである。一度デバイスが乗っ取られると、それを足がかりに、パソコン、スマートフォン、そしてそこに保存されている大切なデータへと攻撃が広がってしまう危険性がある。

IoTデバイスを狙う攻撃は、特定の個人を標的とするものよりも、インターネット上を常にスキャンしている自動化されたプログラム、つまりボットによるものがほとんどである。彼らの主な目的はいくつかある。一つは、乗っ取ったデバイスを「ボットネット」と呼ばれるネットワークに組み込み、他のウェブサイトへのDDoS攻撃（大量のアクセスでサービスを停止させる攻撃）などに利用することだ。例えば、あなたのスマートテレビが知らぬ間に大規模なサイバー攻撃の一翼を担っている可能性がある。次に、デバイスのセンサーを通じて、私たちの習慣、声、動きなどのデータを盗み出すことである。さらに、スマートロックやスマートサーモスタットのようなデバイスが乗っ取られ、遠隔で操作できなくされたり、元の状態に戻すために金銭を要求される「ランサムウェア」の標的になることもある。そして最も厄介なのは、「ネットワークピボット」と呼ばれる攻撃である。これは、脆弱なIoTデバイスを突破口として侵入した後、そのデバイスを拠点にして、より価値のあるパソコンやファイルサーバーといったネットワーク内の他のデバイスへと攻撃範囲を広げていく手法である。

これらの攻撃の入り口は、驚くほど単純な場合が多い。最も典型的なのは「デフォルトパスワード」のまま運用されているデバイスだ。多くのIoTデバイスが出荷時に「admin/admin」のような簡単なユーザー名とパスワードの組み合わせが設定されているが、これらが変更されずにインターネットに接続されている例は数多く存在する。また、「古いソフトウェア」も大きな問題である。IoTデバイスのファームウェア（デバイスを制御するソフトウェア）は自動的に更新されないことが多く、メーカーもすぐにセキュリティサポートを打ち切ってしまうことがある。古いファームウェアには既知の脆弱性が含まれているため、攻撃者にとって格好の標的となる。さらに、「暗号化されていない通信」も危険だ。デバイスがクラウドサービスと通信する際にデータが暗号化されていないと、その通信内容が第三者に盗聴され、機密情報が漏洩する可能性がある。「脆弱なサービス」も脅威となる。例えば、TelnetやSSHといったリモート接続サービスが不適切な設定や弱い認証情報で公開されている場合、それらはハッカーにとって「どうぞお入りください」と歓迎するようなものになってしまう。

これらのリスクからスマートホームを守り、プライバシーを取り戻すための具体的な対策をこれから説明する。ネットワークエンジニアでなくても、これらのステップを実践することは可能だ。

まず最も重要な第一のステップは、「デフォルトの認証情報を変更する」ことである。何よりも先に、購入したすべてのIoTデバイスに対し、出荷時に設定されているユーザー名とパスワードを、それぞれユニークで推測されにくい強力なものに変更する。この一つの行動だけでも、自動化された攻撃の大部分を阻止できる。複雑なパスワードを管理するために、パスワードマネージャーの利用を強く推奨する。

第二のステップは、「脅威を分離するためにゲストWi-Fiネットワークを作成する」ことだ。これは最も効果的な対策の一つであり、実践することをおすすめする。メインのWi-Fiネットワークは、パソコン、スマートフォン、タブレットなど、信頼性の高いデバイスのみが接続するようにする。そして、すべてのIoTデバイスは、このメインネットワークとは別に用意した「ゲストWi-Fiネットワーク」に接続させる。ゲストWi-Fiネットワークは、接続されたデバイス同士、そしてメインネットワーク上のデバイスから隔離されるように設計されている。これにより、もしスマートケトルがハッキングされたとしても、攻撃者はあなたのオンラインバンキングを行うパソコンにアクセスしたり、通信を傍受したりすることはできない。ほとんどの最新のルーターにはこの機能が内蔵されており、ルーターの設定画面で「ワイヤレス設定」や「ゲストゾーン」といった項目を探すと見つかるはずだ。設定する際には、「ゲストがローカルネットワークにアクセスすることを許可する」といったオプションが「無効」になっていることを必ず確認する。

第三のステップは、「ファームウェアを常に最新の状態に保つ」こと、つまりデジタル衛生を徹底することだ。デバイスに自動更新機能があれば有効にする。もしなければ、定期的にメーカーのアプリやウェブサイトを確認し、ファームウェアのアップデートが提供されていないかをチェックする。特に、安価なノーブランド製品など、セキュリティサポートをすぐに放棄する傾向のあるメーカーのデバイスを購入する際には注意が必要だ。

第四のステップは、「必要のない機能を無効にする」という最小権限の原則を実践することだ。例えば、自宅にいるときにスマートカメラのリモートアクセス機能は本当に必要なのだろうか。また、UPnP（Universal Plug and Play）という機能が有効になっていると、ルーターに自動的にポート（通信の出入り口）が開いてしまい、セキュリティリスクを高めることがある。各デバイスの設定を見直し、必要ないと判断した機能はすべて無効にするべきである。機能が少ないほど、攻撃者にとっての「攻撃対象領域」も小さくなる。

第五のステップは、「ネットワーク上のデバイスを把握する」ことだ。何がネットワークに接続されているかを知らなければ、それを守ることはできない。ルーターの管理画面には、接続されているデバイスの一覧が表示されることが多いので、それを確認する。より詳細な情報を得るには、Fingのようなモバイルアプリや、nmapのようなコマンドラインツールを活用するのも良い。例えば、ターミナルで「nmap -sn 192.168.1.0/24」（192.168.1.0/24の部分は自身のネットワークサブネットに置き換える）と入力すると、ネットワーク上のアクティブなIPアドレスとMACアドレスのリストが得られる。これにより、見慣れないデバイスが接続されていないかをチェックできる。

第六のステップは、「ゲートウェイであるルーターを強化する」ことである。ルーターは、外部のインターネットと私たちのホームネットワークの間に立つ門番のような存在だ。まず、ルーターの初期設定の管理者パスワードを、強力でユニークなものに変更する。次に、リモート管理機能を無効にする。これにより、自宅のネットワーク内からしかルーターの設定を変更できないようになり、外部からの不正アクセスを防ぐことができる。そして、ルーター自体のファームウェアも最新の状態に保つことが極めて重要である。

第七のステップは、「購入する前にセキュリティを考慮する」という意識を持つことだ。次にスマートデバイスを購入する際には、その製品のセキュリティ対策について事前に調べてみよう。メーカーが過去にどのようなアップデートを提供してきたか、現代のセキュリティ標準に対応しているか、基本的な機能を利用するためにクラウドへの接続が必須かどうかなどを確認する。ZigbeeやZ-Waveのようなプロトコルとローカルハブを利用するデバイスのように、クラウドに依存せずローカルで動作するデバイスの方がプライバシー面で優れている場合が多い。

もし、より高度なネットワーク設定に慣れているのであれば、さらにセキュリティを強化することも可能だ。例えば、プロシューマー向けや企業向けのネットワーク機器（Ubiquiti、MikroTikなど）を使っている場合、「VLAN（Virtual Local Area Network）」を設定することで、ゲストWi-Fiよりもさらに堅牢なネットワークの分割が可能となる。また、「Pi-hole」のようなネットワークレベルの広告ブロッカーを導入すると、広告のブロックだけでなく、IoTデバイスが悪意のあるドメインや追跡目的のドメインに通信するのを防ぐ「DNSシンクホール」としても機能させることができる。さらに、ルーターの「ファイアウォールルール」を詳細に設定し、IoTデバイスに対してはインターネットからのあらゆる「内向き」の接続をブロックし、デバイス自身がインターネットへ接続を開始する「外向き」の接続のみを許可するといった厳格な制御を行うことも有効である。

IoTエコシステムのセキュリティ確保は、一度やれば終わりというものではない。それは継続的なプロセスであり、単に便利さを追求するだけでなく、常にリスクを管理するという意識への転換が求められる。今回説明した対策、つまりネットワークの分離、デフォルト設定の変更、ソフトウェアの更新といった基本的な事項を実践することで、あなたのスマートホームは、脆弱な負債から、真に安全で便利な環境へと変わるだろう。利便性を享受する代償としてセキュリティを犠牲にしてはならない。今日からセキュリティ対策に意識を向け、スマートホームの安全を自分自身で確保してほしい。