認証基盤を強化する方法としては、アイデンティティ管理
スマートデバイスは素晴らしく、私たちの生活をより便利にしています。
家庭用のスマート電球を使用すれば、アクティビティに基づいて、色の変更やライトの点灯と消灯を設定できます。インターネットに接続されたカメラを使用すると、携帯電話のアプリで自宅を監視できます。残念ながら、WiFiに接続された電球のような単純なデバイスでさえ、サイバー犯罪者がテロやハッキングを仕掛けるための入り口にもなり得ます。
そこで、どのようにIoTのテロやハッキングを防ぐ方法があるのか、またどのような手口でなのか詳しくご説明します。
モノのインターネット(IoT)攻撃とは?
モノのインターネット(IoT)とは、従来のコンピュータ、携帯電話、タブレット以外の物理的オブジェクトを含むスマートデバイスのネットワークの説明に使用される用語です。例えば、多くの家庭ではスマートテレビ、スマート電球、その他何らかのインターネット接続のある物が設置されています。接続により、ユーザーは携帯電話からデバイスを制御したり、アプリを介してスマート電球のオンとオフをスケジュールできるなどの特別な機能を提供できます。スマートテレビは、追加のデバイスを接続せずにインターネットからコンテンツをストリーミングできます。
IoT 攻撃は、ネットワークにアクセスするためのゲートウェイとしてこれらのデバイスを使用します。サイバー犯罪者は、組織の従業員を含むユーザーが、コンピュータを保護するのと同じ方法でデバイスを保護しようと思わない、という事実を利用します。残念ながら、私たちのネットワークは最弱なリンクと同等の強さしかありません。サイバー犯罪者は、保護されていない単一の IoT デバイスを利用してネットワークにアクセスし、データを盗むことができます。
IoTテロやハッキングされる危険性とは
IoTデバイスは、コンピュータと同様に、サイバー攻撃を避けるための保護を必要とします。ホームネットワークに接続されているため、IoT デバイスがハッキングされると、サイバー犯罪者はネットワークにアクセスし、マルウェアとして知られる悪意のあるソフトウェアをインストールすることができます。
サイバー犯罪者がネットワークにアクセスできると、データを盗む機会を得ることになります。個人の場合、盗まれるデータには個人識別情報(PII)が含まれることがあります。組織にとって、サイバー犯罪者は従業員の PII と他の機密データを盗む可能性があります。盗まれた PII は、銀行口座からお金を盗んだり、個人情報の盗難など、悪意のある目的に使用される可能性があります。この類の攻撃からの回復は非常に困難です。
スマートデバイスは、家の中の人々を監視するなど、さらに厄介な目的のためハッキングされることがあります。
IoTテロの実例
ここでは、IoTを使った実際にあった一斉攻撃のテロの実例を紹介します。
主にMiraiというマルウェアを使用され、2016年に発生した大規模なサイバーテロ攻撃に関連するボットネットの一つです。IoT(Internet of Things)デバイスを悪用することで知られています。それでは実際に、見ていきましょう。
DynのDDoS攻撃(2016年10月)
Miraiボットネットの最も有名な攻撃であり、DNSプロバイダーであるDynに対する大規模な分散型サービス拒否(DDoS)攻撃でした。この攻撃により、Twitter、Netflix、CNN、Redditなど多くの主要なウェブサイトが一時的にアクセス不能になりました。Miraiは何百万もの感染したIoTデバイス(主に監視カメラやホームルーターなど)を利用して、Dynのサーバーに圧倒的なトラフィックを送り込み、サービスを遮断しました。
Krebs on Securityへのテロ攻撃(2016年9月)
セキュリティ研究者ブライアン・クレブスのウェブサイト「Krebs on Security」へのDDoS攻撃もMiraiボットネットによるものでした。この攻撃は、当時史上最大規模のものとされ、ウェブサイトが長時間にわたってダウンする原因となりました。
フランスのISPプロバイダーOVHへの攻撃(2016年9月)
OVHは、1秒間に1Tbps以上のトラフィックを記録した大規模なDDoS攻撃を受けました。この攻撃にもMiraiが使用され、数十万台のIoTデバイスからのトラフィックが原因でした。
IoT 攻撃の実際にあった例
IoT 攻撃は、IoT デバイスを使用する個人と組織の両方に影響を与える可能性があります。ここで、恐ろしい IoT 攻撃の例をいくつかご紹介します。
● 調査により、一部の個人情報の盗難に関連するサイバー攻撃がIoTに関連していたことがわかりました。
● サイバー犯罪者がインターネットに接続されたベビーモニターにハッキングし、デバイスを介して赤ちゃんに話しかけました。同様にベビーカメラもハッキングされていたため、サイバー犯罪者が被害者の家を覗くことができました。
● IoT 搭載車を離れた場所からハッキングし、ハッカーが車両を制御できることが判明しました。
● ドアを開ける前に外にいる人を確認するためのドアベルカメラがハッキングされ、スワッティングが行われました。これは、警察に嘘をついて被害者の家に SWAT チームを送り込み、危険な目に遭わせる嫌がらせです。
● ユーザーがアプリを使用して温度を変更できるスマートサーモスタットがサイバー犯罪者によってハッキングされ、ユーザーの設定が変更されました。
ご覧のとおり、あらゆる種類の IoT デバイスが悪用され、ユーザーに深刻な影響をもたらしています。
DDoS攻撃とIoTへの攻撃テロやハッキングの関係性
DDoS とは、分散型サービス拒否(Distributed Denial of Service) の略で、サイバー犯罪者が大量のボットでネットワークを混乱させる攻撃手法です。実際のユーザーではなく数百万のボットによってサーバーに過剰な負荷がかけられ、ネットワークが溢れた状態になり、ユーザーの利用が困難になります。
この類の攻撃は企業を混乱させて生産性に大きな損失をもたらすため、収益に影響する可能性があります。また、必要なサービスにアクセスできないユーザーにも深刻な影響を及ぼす可能性があります。
IoT デバイスの脆弱性により、サイバー犯罪者は DDoS 攻撃を可能にするいわゆる「ボットネット」の一部として、これらを簡単に使用できます。ハッキングされた IoT デバイスは、他のハッキングされたデバイスと一緒にネットワークを溢れさせるよう指示することができます。保護されていない IoT デバイスが増えるほど、ボットネットは大きくなります。
IoT攻撃を防ぐ対策方法
IoT 攻撃を防ぐ方法をいくつかご紹介します。
1. 良好なサイバー衛生を実践する
サイバー衛生とは、インターネット上で安全性を維持するために、毎日のベストプラクティスを活用することです。すべてのアカウントとデバイスにユニークで強力なパスワードを使用したり、不要な情報をオンラインで共有しないなどの慣行が、IoT 攻撃を含むさまざまな攻撃の防止に役立ちます。
2. ネットワークを保護する
デフォルトのパスワードを強力で固有のパスワードに変更し、ネットワーク名を変更し、管理者設定でウェブトラフィックを暗号化することにより、WiFi ネットワークを保護する必要があります。多くの人が WiFi ネットワークにデフォルト認証情報を使用しています。これはサイバー犯罪者が推測しやすいものです。
強力なパスワードは覚えにくいため、Keeper Password Manager のようなパスワードマネージャーを使用してパスワードを自動的に生成し、保存することをお勧めします。
3. IoT デバイスにゲストネットワークを使用する
一部の IoT デバイスは、完全な機能を実現するためにコンピュータや携帯電話と同じネットワーク上に配置する必要がありますが、多くの IoT デバイスはゲストネットワークでホストできます。これにより、IoT デバイスを利用してコンピュータや機微データを含むその他のデバイスにアクセスしたいサイバー犯罪者に対する防御壁を追加することになります。重要なデータとIoTデバイスが異なるネットワーク上にある場合、片方が他方への入り口になることがはるかに困難になります。
4. IoT デバイスへのアカウントアクセスを制御する
一部の IoT デバイスには、デバイスアクセスを制御するために使用できるプライバシー設定があります。これは、デバイスにオンラインアクセスできる人が多いほど、その中の 1 人がサイバー犯罪者によりアカウントが侵害される可能性が高くなるためです。そのアカウントを使用し、悪意のある目的でデバイスにアクセスする可能性があるため、大切な機能です。
企業は特権アクセス管理(PAM)を使用して、デバイスにアクセスする人を制御できます。PAM は、企業が機密情報にアクセス可能な特権アカウントの管理に使用するソフトウェアソリューションの一種について説明します。
5. 物理的に安全な IoT デバイス
IoT デバイスが物理的に安全であることを確認します。誰かが物理デバイスに接触できれば、デバイス、最終的にはネットワークと重要なデータをハッキングできます。例えば、企業がスマートカメラを使用して店舗を監視する場合、顧客の手の届かない場所にする必要があります。
6. 不要時にデバイスを切断する
サイバー犯罪者が攻撃する機会を減らすには、IoT デバイス不使用時に切断する必要があります。スマートテレビのプラグを外し、ベビーモニターの電源をオフにし、デバイスを切断して、サイバー犯罪者の標的にならないようにします。
7. 未使用機能を無効にする
上記のヒントと同様、設定で使用しない機能をオフにすると、IoT デバイスの攻撃対象領域を削減できます。
8. デバイスソフトウェアを常に最新の状態に保つ
テック企業は IoT デバイスを含むソフトウェアのアップデートの一環として、セキュリティパッチを発行します。これらのパッチは、会社が発見した、またはサイバー攻撃によって見つかったセキュリティ脆弱性を修正するために開発されます。これらの脆弱性が悪用されるのを防ぐためには、ソフトウェアを常にすぐに更新することが重要です。
まとめ:IoTの対策をしっかり忘れずに
IoTデバイスが広がるにつれて、サイバー犯罪者による攻撃のリスクも高まります。これらのデバイスが攻撃の対象となることが多いため、適切な対策を講じることが重要です。最も基本的かつ効果的な防御策の一つは、各アカウントとデバイスに独自で強力なパスワードを設定することです。これにより、不正アクセスのリスクを大幅に減らすことができます。
それを手助けしてくれるのが、Keeperのようなパスワードマネージャーです。
この機会にKeeperパスワードマネージャーの無料30日間トライアル体験を試してみてはいかがでしょうか。