【ITニュース解説】Hackers Exploit Milesight Routers to Send Phishing SMS to European Users

今回のニュースは、ハッカーが特定のルーターを悪用し、ヨーロッパのユーザーにフィッシング詐欺のSMSを大量に送信していたという事件について報じている。システムエンジニアを目指す皆さんにとって、このサイバー攻撃は、普段何気なく利用している機器やサービスの背後にあるセキュリティリスクと、それを防ぐための技術や考え方を学ぶ良い機会となるだろう。

まず、攻撃の起点となった「Milesight社製の産業用セルラールーター」について説明する。ルーターは、インターネットと私たちのデバイスの間でデータが行き来する際に、経路を決めたり、複数のネットワークを接続したりする役割を持つ機器だ。家庭で使われているWi-Fiルーターをイメージすると分かりやすいだろう。今回悪用されたのは、一般的な家庭用とは異なり、「産業用」である点が重要だ。産業用ルーターは、工場や交通システム、スマートシティのインフラなど、企業の重要なシステムで利用されることを想定して作られている。そのため、高い耐久性や信頼性が求められ、多くの場合、24時間365日稼働し続けることが期待される。また、「セルラー」という言葉が示すように、携帯電話の通信網（LTEや5Gなど）を利用してインターネットに接続できる。これは、有線LANの敷設が難しい場所や、移動する機器など、様々な環境でネットワーク接続を可能にする技術で、IoT（モノのインターネット）デバイスが急速に普及する中で、その重要性が高まっている。

ハッカーは、このMilesightルーターの「API」を不正に利用して攻撃を実行した。APIとは「Application Programming Interface（アプリケーション・プログラミング・インターフェース）」の略称で、簡単に言えば、異なるソフトウェアやシステム同士が互いに連携し、特定の機能を利用するための「窓口」のようなものだ。例えば、スマートフォンアプリで地図を表示する際、アプリは地図サービスのAPIを通じて地図データを取得している。今回のルーターにも、管理者がルーターの設定変更を行ったり、状態を監視したりするためのAPIが備わっていた。ハッカーは、このAPIのセキュリティ上の弱点を突き、本来は認証された管理者のみが利用できるはずの機能、特にSMS送信機能を外部から勝手に呼び出すことに成功したと考えられている。これにより、ハッカーはルーターを「踏み台」として悪用し、大量のSMSをユーザーへ送信したのだ。

不正に送信されたSMSは、「スミッシング」と呼ばれる詐欺行為に利用された。スミッシングとは、SMS（ショートメッセージサービス）とフィッシング詐欺を組み合わせた造語だ。フィッシング詐欺とは、銀行や運送会社、公的機関などを装って偽のウェブサイトへ誘導し、ログイン情報やクレジットカード番号といった個人情報をだまし取る手口全般を指す。スミッシングの場合、SMSで「荷物の配送状況をご確認ください」「アカウントがロックされました」といった、ユーザーの不安を煽るメッセージとともに、偽サイトへのリンクが送られてくる。ユーザーがそのリンクを不用意にクリックし、個人情報を入力してしまうと、金銭的な被害に遭ったり、アカウントが乗っ取られたりする危険性がある。今回の事件では、特にスウェーデンやイタリアを含むヨーロッパ諸国のユーザーが標的とされた。特定の地域が狙われる背景には、その地域の言語や文化、さらには法規制やユーザーのセキュリティ意識の傾向など、様々な要因が絡んでいる可能性がある。

この一連の事件から、システムエンジニアを目指す皆さんが学ぶべき教訓は数多くある。まず、ネットワークに接続されるあらゆる機器、特に産業用IoTデバイスには、常にセキュリティリスクが伴うという認識を持つことが重要だ。これらの機器は、一度悪用されると、今回の事件のように大規模なサイバー攻撃の「踏み台」となったり、企業の重要なシステムに深刻な損害を与えたりする可能性がある。そのため、機器を選定する段階からセキュリティ機能を重視し、導入後も常に最新のセキュリティパッチを適用し、適切な設定を行うことが不可欠となる。

次に、APIのセキュリティ設計と運用がいかに重要であるか、という点だ。APIはシステムの機能を外部に提供する便利なインターフェースであると同時に、悪意ある攻撃者にとっての「入り口」にもなり得る。システムエンジニアは、APIを設計する際に、アクセス認証の強化、入力値の厳格な検証、不要な機能の削除など、セキュリティを最優先に考慮しなければならない。また、APIを公開した後も、定期的にセキュリティ診断を実施し、潜在的な脆弱性を発見し、修正し続ける運用が求められる。

さらに、サプライチェーン全体のセキュリティ意識も高める必要がある。今回の事件ではMilesight社製のルーターが悪用されたが、ルーターを導入している企業は、自社のセキュリティ対策だけでなく、使用する製品やサービスを提供しているベンダー（サプライヤー）のセキュリティ対策状況にも目を向ける必要がある。ベンダーが提供する製品に脆弱性がないか、セキュリティパッチは迅速に提供されるか、といった点も、製品選定の重要な判断基準となるのだ。

そして、どんなに強固なシステムを構築しても、最終的に利用する「人」への対策も忘れてはならない。今回のスミッシングのように、人の心理を巧みに操る「ソーシャルエンジニアリング」の手法は、技術的な防御をすり抜けて攻撃を成功させることがある。企業は、従業員や顧客に対し、定期的なセキュリティ教育を実施し、不審なメッセージやウェブサイトの見分け方、個人情報の適切な取り扱い方法などを啓発し続ける必要がある。

システムエンジニアの役割は、単にシステムを構築するだけにとどまらない。そのシステムが安全に、そして信頼性高く運用されるよう、ハードウェア、ソフトウェア、ネットワーク、そして人というあらゆる側面からセキュリティを考慮し、対策を講じる責任がある。今回のMilesightルーターの事件は、ルーターの脆弱性、APIの悪用、スミッシング詐欺、そしてサプライチェーンセキュリティといった、多岐にわたるサイバーセキュリティの課題を浮き彫りにした具体的な事例だ。こうした現実の脅威から学び、将来のシステム開発や運用に活かすことで、より安全なデジタル社会の実現に貢献できるだろう。