セキュリティソフトのグローバルリーダーであるアバストは、米国のスタンフォード大学と共同調査を行い、全世界の家庭の約40%が1台以上のIoTデバイスを所有していることを明らかにしました。IoTデバイスの所有率の高まりに伴いサイバーセキュリティリスクが増加していることも判明しました。
今回の調査結果は、Usenix Security Conference 2019で発表された新しい研究論文「All Things Considered: An Analysis of IoT Devices on Home Networks」に掲載されています。
本論文は、世界最大規模のIoTデバイスに関する調査です。アバストは全世界1,600万世帯の8,300万台のIoTデバイスをスキャンし、IoTデバイスの種類、メーカー別の分布とセキュリティプロファイルを調べました。その結果は、アバストとスタンフォード大学の研究チームによって検証、分析されました。
スタンフォード大学 コンピュータサイエンス学部 准教授 ザキル・デュルメリック氏は、次のように述べています。「セキュリティ業界では以前から、新しいIoTデバイスに関する問題が議論されてきました。残念ながら、これらのデバイスはホームルーターの背後に隠れ、家庭で実際に使用されているデバイスの種類に関する大規模なデータはほとんどありませんでした。今回の調査データは、世界におけるIoTデバイスの導入状況と、ユーザーが所有するデバイスに存在するセキュリティ問題の種類を明らかにするのに役立ちました。」
本調査は、複雑なIoTエコシステムの実態と、関連する全世界の家庭におけるサイバーセキュリティの課題を明らかにしています。主な調査結果は次のとおりです。
- IoTデバイスの所有率が最も高い地域は北米で、66%の家庭が一つ以上のIoTデバイスを所有 (世界平均：40%、アジア：31%)
- 世界中に14,000以上のIoTメーカーが存在しているにもかかわらず、使用されているIoTデバイスの94%はわずか100のベンダーにより製造されている
- 依然として数百万台のデバイスでFTPやTelnetなどの旧式のプロトコルが使用されている。全IoTデバイスの7%以上がこれらのプロトコルを使用しており、特に脆弱性が高い
調査データは、アバストのWi-Fiインスペクターを活用してユーザーの同意のもと収集され、ホームネットワーク内の脆弱性をスキャンし、脅威の入り口となりうる潜在的なセキュリティの問題を特定しました。Wi-Fiインスペクターにより、ネットワークの状態、ネットワークに接続されているデバイスおよびルーターの設定が確認できます。ネットワークへの攻撃者のアクセスを防ぎ、個人データが悪用されるのを防ぐことで、ネットワークを安全に保護することができます。
IoTベンダーの分布状況
本論文では、世界におけるIoTベンダーの分布状況についても調査しました。全世界で14,000社を超えるIoTベンダーが存在しているにもかかわらず、少数の企業により市場が支配されているのが現状です。
アバストの人工知能（AI）担当責任者であるラジャーシ・グプタ (Rajarshi Gupta) は、以下のように述べています。「本論文での重要な発見は、家庭用IoTデバイスの94%が100社未満のベンダーによって製造され、その半分がわずか10社のベンダーによって製造されていることが明らかになったことです。IoTデバイスの製造ベンダーは、設計上、強力なプライバシーとセキュリティを備えたデバイスを消費者に提供する責務を担っています。」
製造ベンダーが望ましくないアクセスに対するセキュリティを強化することにより、悪意ある人物によるIoTデバイスへのスパイ行為やDoS攻撃への悪用を防ぐことができます。
未対処の重大なセキュリティリスク
アバストは調査の中で、かなりの数のデバイスがTelnetやFTPなどの旧式のプロトコルを使用していることを特定しました。全IoTデバイスの7%がこれらのプロトコルの1つをサポートしています。
これは、ホームネットワークへのゲートウェイとして機能するホームルーターの15%に当たります。これは深刻な問題であり、ルーターの認証情報が脆弱な場合、他のデバイスやホームネットワーク全体が攻撃にさらされる可能性があります。
2019年現在も、IoTデバイスがTelnetをサポートする理由はほとんどありません。しかし、今回の調査により、監視デバイスとルーターがTelnetプロトコルをサポートしていることを明らかにしています。監視デバイスは、ルーターやプリンタと同様に、最も脆弱なTelnetプロファイルを有しています。これは、Miraiボットネット攻撃におけるTelnetの役割のような過去の兆候とも一致しており、IoTデバイスは広く普及しているため、容易に侵害される可能性が高いことを示唆しています。
本論文の詳細は、「All Things Considered: An Analysis of IoT Devices on Home Networks (英文)」をご覧ください。
