リスク・フォーカスレポート
１．IoTをめぐる概況
前回のレポートでは、「IoT（＝Internet of Things、モノのインターネット）」の概念と実態について概説しました。IoT化の波は業種を問わず加速度的に進行しており、どの企業においてもIoTサービスが及ぼす影響は回避することができません。IoTの普及と積極的活用においては、利便性の背後にこれまで想像されなかったリスクが待ち受けおり、今までにも増して積極的なリスク管理が必要となるのです。
例えば、自動車や防犯カメラ、複合機などが乗っ取られ、情報を不正に流出させたり、攻撃の「踏み台」とされたりする危険性が顕在化しており、今後は「IoTでつながるあらゆるモノ」が攻撃の対象となることが想定されます。
今回は、IoTの利活用において実際に起きたインシデント(*)をご紹介したいと思います。
(*)インシデントとは、重大な事故を含むトラブルの総称を指します。より狭義では、軽微な事故や事故の起こり得る状態など、重大事故の予兆を指すこともあります。
２．実際すでに起きた事故（今そこにある危機）
本章でご紹介する事例は、民間企業だけでなく、政府機関、インフラ、個人用デバイスなど多岐に渡ります。IoTリスクは、すなわち「モノのネットワーク化によるリスク」であり、身近に起こりうる危機として捉えていただければと思います。
(1) インフラ・産業設備
イラン核施設の設備破壊（2009年）
2009年11月～2010年1月、イラン・ナタンズ市にある核燃料施設の制御システムにコンピュータ・ウィルス「スタクスネット」が侵入し、1,000基の遠心分離器を物理的に破壊しました。それまでは、ウィルスといえば電子的な記録情報を持ち出したり改ざんしたりするのが一般的でしたが、この事件は、ITによる制御が不能となり、対象に「物理的な破壊」をもたらした最初の事例となります。このウィルスは、特定のメーカー製の機材だけを狙い撃ちにしつつ、未知の脆弱性を4つも突くという、技術的にはきわめて高度なものでした。具体的な侵入経路は不明ですが、最終的にはモニタリング・システムからは感知されないように潜伏しながら遠心分離器の周波数や回転速度を規定外に操作し、分離器内のアルミニウム・チューブを膨張させ、それらを相互に接触させることに成功しました。これによって遠心分離機1,000基が完全に破壊され、イランの核開発は大きく停滞したと言われています(*1)。このウィルスは、イラン国内を限定的にターゲットとした設計だったことから、当時イランと敵対していた米国とイスラエルの関与を疑う報道も散見されます(*1)が、推測の域は出ていません。いずれにせよ、一見インターネットから隔絶された産業用制御システムでもウィルスに侵入され、物理的な損害が引き起こされるという点では、IoTを介したリスクの遍在化を裏づける事例となりました。
ドイツ製鉄所の溶鉱炉破壊（2014年）
ドイツ連邦電子情報保安局によれば2014年、ドイツ国内にある製鉄所の制御システムが何者かに侵入され、強制的な操業停止に追い込まれました。ドイツ当局は製鉄所の名前や具体的な手法は非公開としていますが、操業停止によって溶鉱炉がおおきなダメージを被ったそうです(*3)。ドイツは国策としてのIoT政策「インダストリー4.0」を推進しており、IoT関連の投資・環境整備においては、米国に並ぶ先進国です(*4)。そのドイツにおいてさえ、産業制御システムが侵入され、実害に及んだという事例です。
ウクライナの大規模停電（2015年）
2015年12月23日、クリスマス休暇のさなかのウクライナが大規模停電に見舞われ、22万5千人以上の市民生活に影響がおよびました。この原因は、電力網に侵入した破壊性のきわめて高いウィルスでした。電力網の制御システムは本来、通常のITシステムとは隔絶しています。攻撃者はこの断絶を2段構えの攻撃で突破しました。まずは標的型メールを通じて通常のITシステムに侵入し、じっと潜伏してネットワークの動向を探りました。その結果、「不用意な作業員が、通常のITシステムと電力網の制御システムをつないで作業することがある」ことを突き止め、これを攻撃の端緒として、電力網に侵入し、電力管理のシステムを掌握したとみられています(*5)。攻撃者はこの攻撃をウクライナの電力会社6社に同時に仕掛け、うち3社の電力網を掌握しました。この事例は、重要インフラへのサイバー攻撃が成功し、大規模な被害をもたらした最初の事例となりました(*6)。
(2) 自動車
FCAUS社（旧クライスラー社）の大規模リコール（2015年）
2015年7月、米国のセキュリティ専門家らがクライスラー社の人気車種「ジープ・チェロキー」のハッキングに成功したと発表しました。実験の映像では、時速120キロで走行中の同車種車両の運転機能が次々に奪われ、最終的には路肩に突っ込んで停車する様子が収められています(*7)。同車種では専用無線回線を介してネットワーク化したエンターテイメントシステム「Uコネクト」が搭載されていましたが、このシステムに脆弱個所が潜んでいました。攻撃者がこの脆弱性を突いた場合、同車種のワイパー、クラクション、ラジオ、オーディオに始まり、果てはアクセルとブレーキとハンドルまで、遠隔地から自由に操作できる状態だったのです。専用無線回線と特定車種という限定的な環境にも関わらず、セキュリティを突破されたことで、専門家に大きな衝撃を与えました。クライスラー社はこの指摘を受け、遠隔操作による犯罪行為を未然に防ぐために、米国内で140万台の大規模リコールを実施することとなりました(*8)。ネットワークに接続した、高度な車両制御システムを備えた自動車、いわゆる「スマート・カー」「コネクテッド・カー」をめぐる大規模リコールとしては、世界で初めての事例となりました。
テスラ社の最先端電気自動車の乗っ取り（2016年）
2016年9月、中国のセキュリティ専門家が、米国テスラ社の最先端電気自動車「テスラ・モデルS」の乗っ取りに成功したと発表しました。実験の映像では、ドアロック、サンルーフやトランクの開閉、ハザードランプ、座面や背もたれの位置調整、ブレーキなどさまざまな機能が遠隔操作されていく様子が認められます(*9)。同社は即時、対応アップデートを配信して、（皮肉にも）ネットワーク越しに全車両のシステムを更新したと発表(*10)しており、リコールや消費者裁判には発展していません。しかしながら同社は、世界最大の電気自動車量産メーカーであり、その技術の粋を尽くした最高級車が乗っ取られたことで、ブランド・イメージに傷をつける結果となりました。
(3) 家庭用デバイス
ファイザー社の薬剤注入ポンプの乗っ取り（2011年）
2011年8月、糖尿病を抱えたセキュリティ専門家が、自身の体に埋め込まれたファイザー社の子会社が製造するインスリン注入ポンプをハッキングし、遠隔地からネットワーク越し自在に制御できることを示しました。制御できる内容としては、インスリンの投与量を制御したりポンプの動作自体を停止したり、結果的に「利用者に致死的なダメージを与える」ことが可能でした(*11)。埋め込み型医療用機器については、その制御やモニタリングを無線ネットワークで行う必要がありますが、セキュリティレベルの向上が困難です。たとえば通信を暗号化するためには、計算能力を上げ、そのためのバッテリーも積み増す必要があり、極小サイズの埋め込み機器には実装できません。また、パスワード認証などで管理権を制御しようとしても、緊急時や外国で受診する際に、医師が機器を制御することができなくなるため、実装は難しいでしょう。本件は、こういった無線型医療用機器における脆弱性が注目される契機となった、最初期の事例となりました(*12)。
LIXIL（旧INAX）製アプリ乗っ取り（2013年）
2013年、米国のセキュリティ会社は、LIXIL製のトイレ操作アプリに脆弱性があり、第三者が勝手にトイレを操作できることを突き止めました(*13)。より具体的には、便器のフタの開け閉め、温水洗浄機能、乾燥機能、便器自体の水洗などほとんどすべての機能を、第三者が自由に操作できたのです。たかがトイレと思われるかもしれませんが、発覚当時、米国ではすでにIoT化の波が個人用住宅にも訪れ、いわゆる「スマート・ホーム」。が現実のものとなりかけた時期でした。そんな市場黎明期からすでに、典型的なIoTリスクである「ネットワークを介した第三者の介入」がすでに現実のものとなっていたという点で、示唆的な事例となります。なお、本件について開発元は、「きわめて例外的な事例」として対応をはかりませんでした(*14)。
防犯カメラ大手3社製カメラの盗み見（2014年～）
2016年1月、28,000件（うち日本国内が6,000件）もの防犯カメラの映像を集積・公開するウェブサイトが話題を呼びました。掲載されたカメラはすべて稼働しており、その映像を誰もが閲覧することができる状態でした。本件のサイトは2014年頃にロシアで開設されており、アクシス社（スウェーデン）、ソニー、パナソニックなど主要メーカ―製カメラによる通信を無作為に探りつつ、見つけた場合は、それぞれのブランドごとに「製品出荷時のIDとパスワード」を試し、アクセス可能なカメラ映像を収集しています(*15)。「製品出荷時のIDとパスワード」とは、（たとえば取扱説明書をインターネットで閲覧すれば）だれもが知りうる公開情報とみなされます。したがって、その組み合わせによる機器への侵入は、不正アクセスとはみなされないのです(*16)。このサイトの作成者はいまもサイトの運営を続けており、現執筆段階でも世界で16,028台、日本国内で1,312台のカメラ映像を公開し続けています。
(4) その他
スマートカギ事業者の廃業（2016年）
平成26年12月、電通の子会社電通ブルーはスマートカギ「246Padlock」を発売しました。これはスマホを用いて開閉をおこなう南京錠で、国内における「スマートカギ」として先駆け的存在でしたが、平成28年4月、サービス開始からわずか1年半で同社はこのサービスの廃止を発表しました(*17)。このアナウンス自体がサービス停止のわずか2ヶ月前であり、停止後にはこの商品は開錠できなくなってしまうことから、本件は大きな反響を呼びました。IoTにおいては、部品・機材の供給元とは別に、ソフトウェア層・ネットワーク層の提供者が大きくサービスに関わることとなり、おそらくスマートロックとしては引きつづき使用可能な機械性能を備えていたであろう本商品についても、サービス停止とともにその価値はゼロに帰するわけです。IoT化の大きな拡大が見込まれる「スマート・ホーム」市場ですが、その先達となったこの商品が、IoTリスクの典型を示すこととなった事例となります。
３．総評
以上のとおり、IoTに関連するインシデントを見てきましたが、対象となる「モノ」が増加するにあたりその深刻さと件数も拡大している状況にあります。あらためて、IoT化におけるリスクの構造を振り返ってみると、多様なモノの接続によって、1)機材やネットワークインフラやサービスの供給者が想定しないつながりが発生する、2)供給者や使用者の管理外にある機材がつながる、3)生活インフラや家電などがつながることにより市民の身体や財産を大きく害する可能性がある、4)インシデントの端緒が使用者（市民）から検知されづらい、といった特性があります(*18)。こういった多層的でリスク因子が内外に分散した構造のもとでは、IoT機器の安全性、媒介するネットワークの安全性、保守管理にかかる安全性、使用者における安全性といった、サービス全体にかかるリスク環境を分析・把握する必要性があります。
今やほとんどの企業が何かしら取り組んでいるであろうセキュリティ対策ですが、実際に事故は減ってはいません。マイナンバー制度の導入、スマートフォンやタブレット端末などのマルチデバイス化、クラウドサービスの拡大、ビッグデータやIoTの活用など、今後も企業をとりまくIT環境は確実に変化していきます。そのような中、セキュリティ対策において鍵を握るのが、いかに組織的な目線で安全なIT利用と保護ができるかどうかではないかと思われます。企業においては、「IoTを使う企業」「作る企業」「両方」のいずれかに関与が分かれるなか、こういったIoTリスクにどう取り組めばよいのかについて真摯に目を向けなければなりませ。次回は、政府が策定したIoTセキュリティの対策指針を参照しつつ、今後のリスク動向について検討したいと思います。
———-【参考資料】————
(*1) DAVID E. SANGER”Obama Order Sped Up Wave of Cyberattacks Against Iran”、2012年2月1日
(*2)Ellen Nakashima, Greg Miller, Julie Tate”U.S., Israel developed Flame computer virus to slow Iranian nuclear efforts, officials say”、2012年6月19日
(*3)Daniel Rose「ドイツの製鉄所がハッキング攻撃で操業停止、ドイツ連邦電子情報保安局が報告書を公開」、平成26年12月23日
(*4)経済産業省製造産業局「IoTによるものづくりの変革」、平成27年4月
(*5)Symantec Security Response “Destructive Disakil malware linked to Ukraine power outages also used against media organizations”、2016年1月5日
(*6)産経新聞「サイバー攻撃で大規模停電 ウクライナ、初の事例か」、平成28年3月1日付
(*7)Andy Greenberg”Hackers Remotely Kill a Jeep on the Highway–With Me in It”、2015年7月21日
(*8)日本経済新聞「クライスラー、ハッキング対策で140万台リコール ソフト更新し遠隔操作防ぐ」、平成27年7月25日付
(*9)Keen Security Lab”Car Hacking Research: Remote Attack Tesla Motors by Keen Security Lab”、2016年9月19日
(*10)産経新聞「中国のセキュリティーラボがテスラ車をハッキングした瞬間！遠隔で急停車させ…」、平成28年9月26日付
(*11)Brian Donohue”Hacking Humans”、2013年8月14日
(*12)情報処理推進機構「医療機器における情報セキュリティに関する調査」、平成26年4月
(*13)Andrew Bokor”Toilet hacks: More relevant to enterprise security than you might think”、2013年8月19日
(*14)マイナビニュース「LIXIL、トイレ操作アプリの脆弱性に”極めて稀なケースでしか悪用はムリ”」、平成25年8月8日付
(*15)NHK科学文化部「ネットで丸見え？ 防犯カメラ」、平成28年1月21日
(*16)ITメディア「世界中の監視カメラの映像をネット配信しているサイトが人気 無防備なカメラ設定に要注意」、平成28年1月21日付
(*17)ITメディア「スマートロック”246Padlock”サービス終了 7月以降は解錠不可能に」、平成28年4月28日付
(*18)情報処理推進機構「繋がる世界の開発方針/基本となる考え方」、平成28年6月
