ＩｏＴ（モノのインターネット）機器を狙ったサイバー攻撃が世界的に急増している。対象はルーターや監視カメラ、工場内の自動化装置など多岐にわたり、テレワークや遠隔教育の環境も格好の標的にされている。イスラエルのチェック・ポイント・ソフトウェア・テクノロジーズの調査によると、ＩｏＴ機器を狙った攻撃件数は１―２月に跳ね上がり、２年前と比べて３倍以上になった。警戒と対策が急務だ。（編集委員・斉藤実）

ＩｏＴ機器は広く社会に浸透しているが、セキュリティー対策や管理が甘く、ネットワーク環境やサプライチェーン（供給網）内の盲点だ。脆弱（ぜいじゃく）性が残ったままのＩｏＴ機器を侵入経路として、重要情報が盗まれたり、第三者を攻撃する踏み台となったりする潜在リスクは高い。

チェック・ポイントの調査は日本を含め世界各地で１０万社を超える顧客基盤を対象としたもの。ＩｏＴ機器を狙った攻撃件数を１法人当たりの週平均で分析したところ、１―２月はグローバルで前年同期比４１％増と、急増したことが分かった。

日本国内はこうした傾向が際立った。ＩｏＴを含む全てのサイバー攻撃を１法人当たりの週平均でみると、１―２月は１１０９件あり、うちＩｏＴ関連が９１件を占めた。件数ベースではグローバルの週平均よりも３１件多かった。さらに注目は増加率で、サイバー攻撃全体の増加率は１法人当たりの週平均ベースで前年同期比２７％に対し、ＩｏＴ関連は同６８％と大幅に増えた。

ＩｏＴ関連をグローバルの業種別でみると、教育・研究分野への攻撃がかつてない勢いで急増。１―２月は１法人当たりの週平均攻撃数が前年同期比３４％増の１３１件に上った。安全が確保されていない大量のＩｏＴデバイスが学校ネットワークに接続され、ハッカーの餌食になっていることが背景にある。

ＩｏＴ機器に脆弱性がある場合、攻撃者は不正なコマンドやデータを送り込み、乗っ取ったアプリケーションが持つ“特権”を利用して、遠隔から操ったり、機能を停止させたりできる。ＩｏＴ機器が通常のウェブアプリとは異なるプロトコル（通信手順）やデータ形式を使用していることから、検出が難しい。こうした意図しない動作を行う攻撃は「インジェクション攻撃」と呼ばれる。

具体策を「まずはできることから」と語るのは、チェック・ポイントの日本法人の永長純執行役員。「導入時に設定されていたパスワードが使用されていないかの確認や、最新のファームウエア（制御ソフト）やパッチ（修正プログラム）の適用」が第一歩。その上で「各デバイスのログ（履歴）を確認し、さらに攻撃の対象となっても被害が拡大しないようにネットワークの分離やアクセス制御ポリシーを検討し、対処することが必要だ」と指摘する。

安全を守る監視カメラなどが脅威へと変貌しないよう、警戒と対策が求められる。