旧式のネットワーク機器がハッカーたちの“宝の山”に一般家庭やオフィスで使われているルーターの多くが、脆弱性を抱えたままアップデートされずに放置されている──。悪事を働くハッカーたちにとって古いネットワーク機器が“宝の山”となっている状況は、ユーザーの意識改革だけでは改善できない。ネットワーク機器のメーカーやプロヴァイダーにも対応が求められている。IMAGES平均的なインターネット利用者にとって無線ルーターとは、接続したあとには忘れてしまうものだ。戻ってくるとしても、底のステッカーに書かれたWi-Fiのパスワードを苦労して読むときか、インターネットにつながらなくて電源スイッチを切り替えるときくらいだろう。「ほとんどの利用者は、ルーターなんて気にしていません」と、アバストのセキュリティー研究者のマーティン・フロンは語る。「隅のほうでほこりをかぶっているだけでしょうね」しかし、それが大きな問題を引き起こしている。長年にわたって更新されていないルーターが無数に存在するのだ。セキュリティ脆弱性の塊であり、ハッカーやマルウェアに簡単に攻略されてしまう。米国消費者協会(ACI)が実施した2018年の調査では、リンクシス、ネットギア、D-Linkなどの人気ブランドを含む、家庭とオフィスのルーターのうち83パーセントが、攻撃者に悪用されるおそれのある脆弱性を抱えていた。ルーターが悪用される危険性ハッキングされたルーターは、DDoS攻撃(分散型サーヴィス妨害攻撃)の実行や、クレデンシャル・スタッフィング攻撃などに利用される可能性がある。クレデンシャル・スタッフィングとは、あるサイトに登録された他人のパスワードにアクセスできるようになったハッカーが、ボットネットを利用して、たくさんのサイトでそのパスワードを試すものだ。したトラフィックの発信源を隠すために使われるおそれもある。光ファイバーのブロードバンドが高速化しているため、トラフィックの隠蔽やビットコインの採掘にルーターが使われていたとしても、使われている側はその最中に気づくことさえないかもしれない。一般家庭の場合、最大のリスクは個人データが盗まれることだ。ラドウェアのセキュリティー研究者らが18年8月にブラジルで発見した、D-Linkのルーターに蔓延していた攻撃(エクスプロイト)は、ブラジル銀行の顧客を狙った攻撃につながり、最終的に10万台が影響を受けた。ハイジャックしたルーターとDNSリダイレクションを使って、顧客を同銀行サイトの“クローン版”に送り込み、そこでログイン情報を盗んでいたのだ。エフセキュアのセキュリティー顧問トム・ガフニーは、「犯罪者コミュニティは、古いファームウェアにセキュリティホールがたくさんあることに気づいています」と語る。サイバー犯罪に手を染めようとする者がルーターのメーカー名を入力すれば、既知の脆弱性のリストがすぐに手に入るオンラインデータベースも存在する。悪用に必要なコードが記載されている場合もある。高まるルーターのリスク音声アシスタントやスマートなドアベルなど、ルーターに接続されるIoTデヴァイスが増えており、リスクは高まっている。ネット接続されたセキュリティカメラがしっかり保護されていたとしても、ルーターが保護されていなければ、システム全体が無防備になる。トレンドマイクロの首席セキュリティーストラテジストのバーラット・ミストリーは、「家に侵入されているようなものです」と語る。マルウェアの「Mirai」のように、セキュリティー対策がされていないルーターやそのほかのIoTデヴァイスに大混乱を生じさせた有名な攻撃はたくさんある。それに既知の脆弱性は増え続けている。エフセキュアのガフニーは、「(ルーターまで含めた)IoTを狙った最初の脅威は2003年にさかのぼります」と語る。「そのあと15年までは何もありませんでしたが、16年は脅威の種別(ファミリー)が5つでした。18年は35になっており、爆発的に増加したことは間違いありません」このなかには、「VPNFilter」などのマルウェアも含まれる。ロシア政府が背後にいると考えられているVPNFilterは、世界全体で推定50万台を超えるルーターに感染した。狙われる「共有ライブラリー」また、接続デヴァイスの発見と連携が簡単になるユニヴァーサル・プラグ・アンド・プレイ(UPnP)を悪用したエクスプロイトもある。(NSA)が開発してインターネットに漏洩したエクスプロイトにより、45,000台を超えるルーターが攻撃された。これもUPnP実装の脆弱性を利用したものだ。「こうした問題はいくつもあります」と、トレンドマイクロのミストリーは言う。「ルーターとは、要するに小さなマイクロコンピューターなのです。マイクロコンピューターに感染するものなら、ルーターも標的にできます」なかでも共有ライブラリーのようなものが攻撃を受けやすい。「開発者はライブラリーはゼロから書くようなことはしません。レポジトリーのような公開されたオンラインの置き場からもってきて使うことができるからです。初期設定のまま使われるルーターの落とし穴ファームウェアは、世の中に出ている期間が長いほど脆弱になる。なかには、とっくに期限を過ぎたヴァージョンのLinuxがまだ動いているルーターもある。最大の問題は、一般家庭の利用者はテクノロジーに詳しくない人が大半であることだ。Wi-Fiについても、それに関係する管理者アカウントについても、いまでも多くの人が初期設定のパスワードのまま使っている。ブラジル銀行の詐欺以外にも、このエクスプロイトを利用した攻撃はたくさんある。最近は、新しいルーターのセットアップが簡単すぎるという意見もある。「以前はセットアップしてからパスワードを設定する必要がありましたが、いまは接続するだけです」と、エフセキュアのガフニーは指摘する。アバストのフロンもこれに同意する。「取り出してそのまま機能するデヴァイスは、たいていは初期設定のままです」。ユーザー自身のパスワードを強制的に設定させるなど、このプロセスにいくつかの段階を加えれば、すべてのユーザーがずっと安全になるだろう。「デヴァイス上でなんらかの設定を済ませるまでインターネットを利用できないようにするのは、理にかなっています」とフロンは言う。一般に、大手のインターネット・サーヴィス・プロヴァイダー(ISP)が提供しているルーターは、届く時点では最新のものであり、デヴァイスごとに固有のパスワードがつけられている。オンラインで購入できるルーター(特に安価なモデル)は攻撃を比較的受けやすく、すべてに同じパスワードが振られている可能性が高くなる。問われるメーカーやISPの責任また、たとえなんらかの設定を強制したとしても、時代遅れの脆弱なファームウェアの問題は解消されない。平均的なインターネット利用者にとって、ファームウェアが優先事項になることはまずないからだ。ルーターのメーカーとISPも、ある程度は非難に甘んじざるを得ないだろう。「最近まで、アップグレードに積極的なところはほとんどない状態が続いてきました」と、エフセキュアのガフニーは語る。われわれが話を聞いた研究者たちは、ルーターのファームウェアを人々が確実に最新のものにできるには、ISP各社がもっとよい方法を見つける必要があると考えていた。脆弱性が発覚しても、実際に利用者に伝わるのに何カ月もかかることがあるからだ。Mikrotikのルーターにセキュリティホールが見つかった際、同社はすぐに修正プログラムを発表した。同社のルーターは200万台以上も使用されており、多くが無防備なままとなった。そこで、あるホワイトハッカーが問題の修正を買って出て、ひとりで10万台以上のルーターに遠隔でパッチをあてた。メールによる定期報告で案内とファームウェア更新を提供するなど、ISPが啓発を進めることはできるかもしれない。すると今度は、ユーザーがフィッシング詐欺に遭いやすくなる恐れがある。トレンドマイクロのミストリーは、「わたしはISPとメーカーが、物事を大幅に簡単にすべきだと考えています」と指摘する。ミストリーが提案するのは、もっと細かな設定をしたいと希望する上級ユーザーにはそうした選択肢を用意して、それ以外の人たちにはアップデートを無線で自動的に配信するシステムだ。Echo」は、こうした方法でアップデートされている。利用者への事前通知はない。「手軽さとセキュリティのトレードオフは常に存在します」と、エフセキュアのガフニーは語る。つなぐだけで簡単に使えるルーターは、サイバー犯罪者たちの仕事も簡単なものにしているのだ。NewPROMOTIONこれまでにない「新しい材料」を生み出す。それがよりよい社会をつくるから。──小川由希子PROMOTIONAudiが考えるモビリティの未来が、次世代コンセプトの「四重奏」から見えたPROMOTIONあまねく人に社会復帰の機会を。そのために、わたしは農業を続ける。──小島希世子PROMOTION七大陸最高峰を最年少制覇した南谷真鈴、「クルマで移動する自由」を体感する。PROMOTION深圳という「母なる大地」で闘い続ける。そのために、マイクはステージに置いてきた。