「いつでもどこでも」というニーズに応えるには、オフィス機器から家電まで、あらゆる周辺機器をインターネットに接続する必要がある。同時にこうした状況は、あらゆる場所からの攻撃を招く。セキュリティベンダーSonicWallの年次報告書「2019 SonicWall Cyber Threat Report」は、「IoT」（モノのインターネット）デバイスへの攻撃が2017年から2018年にかけて217ポイント増加したことを明らかにした。同社は調査チームSonicWall Capture Labsが取得した2019年1～9月の脅威データを集計したところ、該当期間にIoTデバイスへの攻撃を2500万件観測したと述べる。これは2018年1～9月の観測数から33％の増加だ。2020年もIoTデバイスが引き続き攻撃にさらされる可能性がある。

　攻撃者がIoTデバイスへのアクセス権を入手すれば、IoTデバイスが収集するエンドユーザーの行動データが攻撃者の手に渡り、スパイ行為や追跡に利用される恐れがある。例えばインターネットや住宅LANに接続できる「スマートテレビ」は、インターネット経由でのストリーミング再生機能、顔認証機能を備える。米連邦捜査局（FBI）はスマートテレビに関するサイバーセキュリティ脅威の例を挙げて警告している。

「本当にIoT化が必要かどうか」を熟考すべし

　近年、国家が政策の一環としてサイバー攻撃を用いることは珍しくなく、こうした問題は悪化の一途をたどっている。攻撃者は不正な処理要求や大量トラフィックの送付などでサーバやシステムを停止させるDoS（分散型サービス拒否）攻撃を仕掛けるためにIoTデバイスを乗っ取る。そのようなIoTデバイスは、攻撃者が侵害したデバイスで形成するネットワーク「botネット」のもとになるためだ。

　Microsoftは2019年4月に、ロシアの国家的支援を受けた攻撃者がIoTデバイスを乗っ取って企業LANを侵害したことを発見した。この攻撃では、まずインターネット経由で音声通話できるVoIP（Voice over IP）電話、プリンタ、ビデオデコーダー（デジタルデータとして記録された映像をアナログ信号に変換する機器）に侵入。それらを足掛かりにして標的の企業LANに侵入し、脆弱（ぜいじゃく）性を探した。これは侵入を許したデバイスで、初期パスワードがそのまま使われていたり、最新パッチが適用されていなかったりしたために起こった事件だ。

　IoTデバイスの急速な普及により、新たなサイバーセキュリティの脅威と攻撃手法が出現している。セキュリティベンダーAllotでサイバーセキュリティ部門のバイスプレジデントを務めるハガイ・カッツ氏は「ベンダーが新しいIoTデバイスを作る際はリスクの軽減を後回ししがちであり、セキュリティ対策を最優先するとは限らない」と語る。こうした傾向が、IoTデバイスに脆弱性をもたらすことになる。IoTデバイスベンダー以外のサードパーティー製エンドポイントセキュリティ製品を実行する仕組みを備えていないことも問題だという。

　新たなサイバーセキュリティ脅威に対抗するためにカッツ氏が導入を勧めるのが、機械学習技術や可視化技術を利用し、全ての管理対象デバイスを識別して一元管理できるようにした製品・サービスだ。セキュリティポリシーを各デバイスに適用し、マルウェアが他のデバイスに広がるのを防ぐためにネットワークを分離する機能もあるとよい。

　「本当にその機器が『IoTバージョン』である必要があるのかどうか」も検討しなければならない。セキュリティベンダーThreatQuotientの共同創設者兼最高技術責任者（CTO）であるライアン・トロスト氏は、次のように話す。「例えば学校が、教育活動のために1人につき1台のタブレットやPCを学習者に持たせるメリットは十分理解できる。だが冷蔵庫にインターネット接続機能が必要な理由の妥当性を示すのは簡単ではない」