用途が広がるIoTに迫るセキュリティの脅威【第28回】

直接につながっていなくても感染する

　IoT機器の脆弱性が原因で、重大なビジネス問題になったケースも起きている。米国の総合スーパーTargetで2013年暮れに起きた大規模情報漏洩事件をご記憶の読者は多いだろう。

　同事件では、店舗で使用されたクレジットカードやデビットカードの4000万件の情報と、約7000万人分の顧客指名、住所、電話番号、メールアドレスが流失したといわれている。結果、会社の業績や評判は大きな影響を与えた。対策に6100万ドルが使われ、銀行からは詐欺被害とカードの再発行費用に関する訴訟を起こされた。最終的にはCEO（最高経営責任者）の引責辞任につながった。

　漏洩の原因は、POS（Point of Sales：販売時点情報管理）機器のマルウェア感染である。Targetはカード業界のセキュリティ標準である「PCI DSS（Payment Card Industry Data Security Standard）」の認証を取得するなどのセキュリティ対策を取っていた。にもかかわらず、社内ネットワークを経由したマルウェア感染と、それに対する運用の不備を突かれ被害が拡大した。

　POSに対するサイバー攻撃は、Wi-Fiの脆弱性を利用するものが多い。Targetの例では、社内ネットワークへの侵入経路は、空調をリモートメインテナンスしている会社のネットワーク経由だとされている。セキュリティの脆弱な空調メインテナンス会社に侵入し、リモートメインテナンス用のネットワーク経由でTargetの社内ネットワークにアクセスし、POSをマルウェアに感染させた。

　IoT機器が直接、外部のインターネットに接続されていなくても、その機器が接続しているネットワークの中で1つの機器がマルウェアに感染することによって、感染は広まっていく。どこか1カ所でも脆弱な所があれば、そこが不正アクセスや攻撃の侵入経路になり得る。セキュリティシステムを確立し、計画から対策の実施、運用を適切に実施し、システムやネットワークに変更があえば、セキュリティを必ず検討する必要がある。

システム構成が複雑化している自動車には多くの脆弱性が潜む

　もう一つの例として、IoTの活用分野として伸びている自動車の脆弱性を原因としてリコールされた事件を見てみたい。米FCA（旧Chrysler）は2015年7月、米国でハッキング対策のために140万台もの車両をリコールした。自動車ハッカーの第一人者が「Jeepチェロキーへの攻撃に成功した」と発表したことで、脆弱性が明らかになったからだ。

　それまで自動車への攻撃事例は、ハッカー本人が自動車に乗り込み車内で攻撃した例しかなかった。このケースでは、FCAが自社の自動車に対して提供している通信サービス経由で攻撃されており、コネクティッドカーに対するセキュリティ脅威を明示した。

　攻撃は、通信サービスに使われているネットワークの脆弱性を利用して車載制御ユニットにアクセス。制御ユニット上のマイコンやアプリケーションプロセサのファームウェアを書き換えた。書き換えたファームウェアが誤った信号をエンジンユニットやステアリングユニット、ブレーキユニットに送ることによって、エンジンやステアリング、ブレーキなどを自在に操れる。

　一部の搭載機器のネットワークの脆弱性が、車内システムや車内ネットワークへの侵入を許し、脆弱なデバイスのファームウェアを書き換えることによって、制御を乗っ取ることが可能となった例だ。制御が乗っ取られると重大な事故になる可能性がある。

　FCAの例は、自動車のような複雑でパーツの組み合わせによって構成されている場合、それぞれのパーツ、パーツ間のネットワーク、外部とのネットワークの、すべてが安全に保たれ、サイバー攻撃に対応していることを検討し検証することの必要性を示している。システム構成が複雑になればなるほど、脆弱性が潜む箇所は増える。各パーツとともに、それぞれの接続カ所に潜む脆弱性にも気をつけなければいけない。

セキュリティリスクは経営レベルで議論する

　IoTの活用やIoTの機器開発においては、早い段階から、各種の脅威や想定されるサイバー攻撃のリスクを明確にする必要がある。そのリスクに対し、対策を検討し、リスクの削減や低減を図ることが重要だ。対策を考慮した開発はもとより、運用が始まってからも定期的に、IoTへのサイバー攻撃や新たな脆弱性やセキュリティ対策を調査・検討し続けなければならない。

　TargetやFCAの例のように、IoTセキュリティは、会社や業績に重大な損害を発生させる可能性がある。それだけに、セキュリティリスクと対策の決定は、IoTサービス部門やIT部門だけでなく、経営レベルでの議論が必要である。