知っておきたいIoTセキュリティの5大リスクと具体的な対策方法

IoT（モノのインターネット）デバイスは、防犯面では役立つ一方で、プライバシー保護という点では決して頼れる存在とは言えません。本記事では、IoT機器がもたらすプライバシーリスクの具体例と、その対策方法を詳しく解説します。

まず、IoTデバイスがどのようにプライバシーを脅かすのか、そしてそれをどう回避すればよいのかを見ていきましょう。

1. IoTホームハブは「何でも録音」している

Google HomeやAmazon Echoなどの一部のデバイスは、周囲の音声を常時聞き取っています。これは、「ホットワード（起動ワード）」を確実に検出し、音声録音を開始するためです。

もちろん、常にこちらの話し声を聞いている状態そのものがプライバシーリスクになります。「ユーザーがホットワードを発していないのに、録音データがサーバーへ送信されているのではないか」という憶測も数多く飛び交っています。

こうした憶測が事実かどうかは別として、デバイスが誤ってホットワードを検知した際、運営企業がプライベートな音声ログを受け取るのは事実です。BBCの報道によると、AppleとGoogleは、委託先の作業員が誤って録音された親密な会話を聴いていたことが発覚したことを受け、従業員による家庭用ハブの録音再生を禁止しました。

常時リスニングへの対策

主要なスマートホームハubには「音声を監視しない」というチェックボックスが用意されていますが、バックグラウンドで何が行われているのかは誰にも分かりません。例えば、見知らぬ人があなたのあらゆる会話に同席し、「誰にも話しません」と約束するだけなら、あなたはその人を信用できますか？

したがって、このIoTセキュリティ問題の最善の対策は、そもそも問題を発生させないことです。可能な限り、24時間365日リスニング機能を持つスマートデバイスは購入しないようにしましょう。音声起動機能を売りにしている製品は、コマンドを待ち受けるために常時監視が必要となるため、容易に見分けられます。

2. 外部からハッキングされる危険性

IoTデバイスの大きな魅力は、インターネット経由でコマンドを受信できる点にあります。これにより、世界中のどこからでもスマートホーム機器を操作できます。

しかし、この機能には落とし穴があります。遠隔操作は場所を選ばない利便性をもたらす一方で、ハッカーにも同じ扉を開いてしまうのです。ハッキングは最も恐ろしいIoTプライバシー問題の一つであり、世界中の誰もが招かれずにあなたの家へアクセスできてしまう可能性があります。

SF映画のような話に思えますが、残念ながら現実です。トレンドマイクロによると、同社のソフトウェアはIoTカメラへの500万件ものハッキング試行をブロックしており、その75％がブルートフォース攻撃（総当たり攻撃）だったとのことです。

リモートハッキングへの対策

この問題に対処するには、ハッカーを寄せ付けない適切なリモートシステムを構築する必要があります。ハッカーの多くはブルートフォース攻撃を使うため、システムは大量の試行に耐えられる強度が求められます。

まず、強力なパスワードでアカウントを保護し、対応している場合は二要素認証（2FA）を有効化しましょう。この2つの対策だけで、ハッカーによる簡単な侵入を防げます。

3. デバイスが暗号化を行っていない

プライバシーを重視する人にとって、これは重大な警告サインです。Zscalerの調査によると、IoTソースから同社のクラウドを通過した5,600万件のトランザクションのうち、90％が平文（プレーンテキスト）で送信されていました。つまり、一切の暗号化が施されておらず、パケットを解析すれば誰でもデータを取り出せる状態だったのです。

暗号化不足への対策

データを適切に暗号化しているIoTデバイスだけを使用しましょう。製品によっては、パッケージや広告に暗号化方式が明記されている場合があります。明記されていない場合は、安全のため購入を見送るのが賢明です。

どうしても使いたい場合は、送信するデータに細心の注意を払い、他人に見られたくない情報には決して使用しないことです。

もう一つの選択肢として、OpenVPNなどのVPN暗号化スキームをネットワークに導入する方法があります。一部のルーターはVPN（仮想プライベートネットワーク）の設定に対応しており、ルーターにVPNを導入すれば、すべてのトラフィックを暗号化して第三者サーバー経由でルーティングできます。これにより、通信経路上の盗み見からデータを守れるでしょう。

4. IoTデバイスは適切にアップデートされていない

ハッキングの標的になりやすいデバイスこそ、セキュリティパッチを受け取れる仕組みが必要です。あるデバイスに脆弱性が発見されれば、その情報はインターネット上で瞬く間に拡散し、同じデバイスの所有者全員が危険にさらされます。

脆弱性への最善の対抗手段はセキュリティパッチですが、IoTの世界には深刻なパッチ問題が存在します。発売後のサポートが極めて限定的だったり、パッチ適用の手段自体がなかったりするケースもあるのです。

さらに、パッチ配信の基盤が整っていても、変化の速いIoT業界では開発元の会社が倒産し、デバイスが更新なしで放置されることもあり得ます。

対策方法

残念ながら、ユーザー自身がIoTデバイスにパッチを当てることはできません。しかし、自分の手でリスクを減らすことは可能です。評判の良いメーカーを選ぶか、オープンソースのIoTデバイスを探しましょう。

スタートアップに期待するのは、経験不足による更新の遅れや倒産のリスクを意味します。大手企業の方が経験豊富で、パッチ対応も迅速であり、事業が消滅する可能性も格段に低いと言えます。

5. デバイスが出荷時の初期パスワードを使っている

初期（ファクトリー）パスワードは、ハッカーにとって最も手軽な侵入経路です。一部の企業は各デバイスに個別のパスワードを割り当てていますが、製造した全デバイスに同じパスワードを設定している企業もあります。

ユーザーがパスワードを変更しなければ、ハッカーは工場出荷時のログイン情報を入手し、見つけたすべてのデバイスで試すでしょう。初期状態の資格情報を持つデバイスは必ずいくつか見つかり、そこからデバイスへの無制限のアクセス権を得られてしまいます。

この問題は非常に深刻で、WeLiveSecurityによると、カリフォルニア州では初期パスワード付きで出荷されるデバイスを禁止する法律まで成立しています。

対策方法

購入したデバイスに初期パスワードが設定されている場合は、すぐに変更してください。古いパスワードを使い続けることは、そのデバイスの初期資格情報を知る潜在的なハッカーに玄関の鍵を開けっ放しにしているのと同じです。

IoTセキュリティを向上させるには

現在のIoTはセキュリティホールだらけであり、プライバシーを預けるには不安が残ります。しかし、適切な予防策を講じれば、個人情報をハッカーに渡すことなくIoTデバイスを安心して楽しめます。

IoTセキュリティ向上に特に効果的なのが、ルーターやPi-Holeと組み合わせたVPN（仮想プライベートネットワーク）の活用です。VPNはIoTトラフィックの発信元の場所を偽装できます。ただし、これにはPi-Hole（トラフィックをVPN経由でルーティングするRaspberry Pi）の設置、またはルーターへのVPNインストールが必要です。