包括的なサイバーセキュリティソリューションプロバイダーであるチェック・ポイント・ソフトウェア・テクノロジーズ（Check Point Software Technologies Ltd.、NASDAQ：CHKP、以下チェック・ポイント）の脅威インテリジェンス部門であるチェック・ポイント・リサーチ（Check Point Research、以下CPR）は、2023年に入り世界的に急増を示すIoT機器へのサイバー攻撃に関し、警鐘となるデータをレポートとして発表しました。これによると、2023年1〜2月の2カ月間におけるIoT機器を標的とした1組織当たりの週平均サイバー攻撃数は、2022年と比べグローバルでは41%増加、国内では68%増加しました。
IoT機器へのサイバー攻撃レポートサマリ
-
2023年1〜2月の2カ月間のIoT機器を標的とした1組織当たり週平均サイバー攻撃数は、2022年と比べグローバルで41%増加、国内で68%増加しました。
-
グローバルでは週平均54%の組織が、国内では同52%の組織がIoT機器を狙うサイバー攻撃に悩まされています。
-
ヨーロッパに拠点を置く組織のIoT機器が最も標的にされており、APAC地域とラテンアメリカ地域がこれに続きます。
IoT（モノのインターネット）は、今や日常生活に不可欠なものとなりました。しかし近年のIoT機器の使用増加と共に、様々な脆弱性を悪用したIoT機器へのサイバー攻撃が増加しています。この増加の一因は、近年の新型コロナウイルスの世界的流行期間中に起きた、教育や医療などさまざまな業界での急速なデジタルトランスフォーメーションが考えられます。この変革は事業継続の必要から生じたものであるため、多くの場合セキュリティ対策への十分な考慮がなされておらず、脆弱性が対処されないままとなっています。
サイバー犯罪者たちは、IoT機器のほとんどが適切に保護・管理されておらず、ネットワークの中で最も脆弱な部分の一つであると認識しています。カメラやプリンターのようなIoT機器の脆弱性は、その他の管理されていない機器同様、直接のアクセスや重大なプライバシー侵害につながります。攻撃者が企業ネットワークに侵入する最初の足掛かりとなり、侵害されたネットワーク内での被害の伝播を可能にします。
2023年の最初の2カ月間、ほぼ毎週のように、グローバルでは平均54%（国内では52%）の組織がこのような攻撃の標的となりました。IoT機器を狙った攻撃数は、グローバルでは1組織当たり週平均60件近く、国内では同91件発生しています。この攻撃件数は2022年比ではグローバルで41%の増加であり、2年前と比べると3倍以上です（国内でも約3倍）。 攻撃の対象となるIoT機器は、ルーター、IPカメラ、デジタルビデオレコーダー（DVR）などの一般的な機器から、ネットワークビデオレコーダー（NVR）やプリンターその他に至るまで、多岐にわたります。スピーカーやIPカメラなどのIoT機器は、リモートワークやリモート学習環境においてますます一般的になっており、サイバー犯罪者にとって侵入経路となる可能性を数多く提供しています。
同様の傾向が全地域および業界でも見られました。現在、ヨーロッパ地域がIoT機器への攻撃に最も苦しめられており、1組織当たり週平均70件もの攻撃を受けています。次いでアジア太平洋（APAC）地域が64件、ラテンアメリカが48件、北アメリカが37件（増加率では前年比58%で最大）、アフリカが34件となっています。
教育・研究分野は現在、IoT機器を標的とした攻撃のかつてない急増に直面しています。1組織が受けた週平均攻撃数は131件で、世界平均の2倍以上、前年比では34%増と驚異的です。その他の業界も急増する攻撃にさらされており、下のグラフが示すように、ほとんどの業界で2022年に比べ増加の割合は2ケタを記録しています。
CPRのこれに先立つ報告では、学校のネットワークに保存された豊富な個人情報に対し、ハッカーが学校を“ソフト・ターゲット”として好んで標的とし、学生と学校がともに脆弱であることが明らかになっています。リモート学習への移行は、サイバー犯罪者にとって攻撃対象領域の著しい拡大を招きました。安全の確保されていない大量のIoTデバイスが学校ネットワークに接続され、ハッカーによるこれらのシステムへの侵入を容易にしたのです。さらに、堅固なサイバーセキュリティによる予防や防御技術に対する学校側の投資不足は、サイバー犯罪者がフィッシング攻撃やランサムウェアを展開しやすい状況を招いています。
多く確認された攻撃
IoTの脆弱性悪用をめぐる脅威環境には何百もの脆弱性が存在しますが、企業ネットワークに対するスキャンや攻撃の試みにおいて、そのうちのいくつかは他のものよりも広く悪用されています。以下は、2023年初頭において特に悪用の多い脆弱性のトップ5です。（カッコ内は国内での順位）
-
MVPower DVRのリモートコード実行：この脆弱性の悪用により、週平均49%の組織が影響を受けています。(2)
-
Dasan GPONルーターにおける認証バイパス（CVE-2018-10561）：週に38%の組織が影響を受けています。(1)
-
NETGEAR DGNのコマンドインジェクション：週に33%の組織が影響を受けています。
-
複数のD-Link製品におけるリモートコード実行（CVE-2015-2051）：週に23%の組織が影響を受けています。
-
D-Link DSL-2750Bにおけるリモートコード実行：週に14%の組織が影響を受けています。(3)
IoT機器で多発するインジェクション攻撃
コマンドインジェクションは、IoT機器において致命的かつ頻繁に悪用される脆弱性です。攻撃者は脆弱なアプリケーション上の特権を利用し、プログラムへのコマンドの注入が可能です。IoT機器の普及により、この種の脆弱性がサイバー犯罪者の格好の標的となっています。
脆弱性スキャナは、WebアプリケーションやAPIの弱点を特定し悪用する目的で広く使用されています。こうしたツールには正当な用途がありますが、攻撃者は悪意ある目的に使用するのです。最近人気を増している2つのツールが、アウトオブバンドセキュリティテストツール（OAST）と、「Interact.sh」です。
スキャン技術は、潜在的な被害者をピンポイントで特定するフィルタリングツールとして用いられます。攻撃の複雑性が低い場合、攻撃者が好む最初のステップはスキャンです。スキャンのプロセスでは、シンプルなペイロードを大きなグループに送信し、脆弱なターゲットが最初のリクエストに応答することにより、脆弱性が確認されます。この方法はアクティブスキャンに該当し、サイバー犯罪者が用いる攻撃の戦術とテクニックに関する階層的フレームワークであるMITRE Matrix for Enterpriseにおける最初のステップです。
スキャンによって、攻撃者はターゲットの脆弱性を確認し、確実にターゲットのみが実際の悪意あるペイロードを受け取るようにできます。調査結果によると、1週間のテスト期間中、少なくとも3%のネットワークがこのスキャン手法の影響を受けました。この攻撃手法を採用したIoT機器への攻撃において悪用された脆弱性には、以下があります。
-
NETGEAR DGNのコマンドインジェクション
-
NETGEAR R7000およびR6400のcgi-binディレクトリのコマンドインジェクション（CVE-2016-6277）
-
FLIR AX8赤外線サーマルカメラのコマンドインジェクション（CVE-2022-37061）
-
複数のIoTへのコマンドインジェクション
IoT攻撃に対し組織はどう自衛できるか
日常業務におけるIoTデバイスへの依存度が高まる中、これらのデバイスの安全性を確保するためには、常に警戒を保ち、予防策を取ることが極めて重要です。IoTセキュリティ向上のため、以下のような対策が可能です。
-
IoT機器は、セキュリティに重点を置き、機器の市場流通前に機器内部にセキュリティ対策を実施している信頼できるブランドから購入する。
-
パスワードポリシーを実践して十分複雑なパスワードを設定し、可能であれば多要素認証（MFA）を使用する。
-
接続された機器が最新のソフトウェアにアップデートされていることを確認し、機器の状態を良好に保つ。
-
接続された資産にゼロトラストネットワークアクセスのプロファイルを適用する。
-
ITとIoTのネットワークを可能な限り分離する。
チェック・ポイントのIoT保護機能について
チェック・ポイントはネットワークセキュリティの最新バージョンであるQuantum Titan (R81.20)の一部としてCheck Point Quantum IoT Protect < https://www.checkpoint.com/quantum/iot-protect/ > を提供しています。このバージョンでは、回避性能の高いゼロデイDNS、フィッシング攻撃、IoT攻撃をブロックすることにより、ネットワークセキュリティを革新します。
2023年3月、このQuantum IoT Protect < https://blog.checkpoint.com/2022/10/24/introducing-check-point-softwares-new-autonomous-iot-threat-prevention-solution-quantum-iot-protect/ > に関連して、ネットワークに接続されたIoT機器をグループ／ゾーンに独自にプロファイルし、それらのIoT機器に自律的ポリシーを作成する技術について特許 < https://patents.justia.com/patent/20220239680 > を取得しています。本特許記載の技術により、組織はわずか数分のうちにIoT資産を自動的に発見し保護できます。チェック・ポイントはネットワークIoT関連の攻撃に対して自律的な保護を提供する唯一のベンダーであり、このソリューションは、IoT資産に対するゼロトラストネットワークアクセスプロファイルを自動作成し、自律的ポリシーを実施することで、IoT資産を既知及び未知のサイバー脅威から保護します。
チェック・ポイントの画期的な新しいIoT向けセキュリティソリューションの詳細は、Quantum IoT Protect < https://www.checkpoint.com/quantum/iot-protect/ > ウェブサイトをご覧ください。また、IoT関連のネットワークリスクに関する無料診断 < https://pages.checkpoint.com/iot-security-checkup.html > もご利用いただけます。
テクノロジーが進化を続けるにつれ、サイバー攻撃もまた高度さと頻度を増していきます。強固なセキュリティ対策を実施し、可視化、脅威およびベストプラクティスに関する最新情報を常に得ることにより、サイバー犯罪者に対する組織の自衛と自社IoT機器に対する保護はより良いものとなります。
本レポートでは、チェック・ポイントのThreat Prevention < https://www.checkpoint.com/infinity/zero-day-protection/ > テクノロジーによって検出され、チェック・ポイントのThreatCloud AIによって保存・分析されたデータを用いています。 Check Point ThreatCloud AI < https://www.checkpoint.com/solutions/threat-intelligence-research/ > は、ネットワーク、エンドポイント、モバイル、IoT機器を網羅する世界中の数億個のセンサーから得られる、リアルタイムの脅威インテリジェンスを提供します。この脅威インテリジェンスは、チェック・ポイントのインテリジェンスおよびリサーチ部門であるCPR < https://research.checkpoint.com/ > による、独自のリサーチデータによって強化されています。本レポートのデータは、2021年初頭から2023年3月までに収集、分析されたものです。
本プレスリリースは、米国時間2023年4月11日に発表されたブログ（英語）< https://blog.checkpoint.com/security/the-tipping-point-exploring-the-surge-in-iot-cyberattacks-plaguing-the-education-sector/ > および米国時間2023年4月12日に発表されたブログ（英語） < https://blog.checkpoint.com/security/check-point-registers-patent-for-uniquely-profiling-and-autonomously-enforcing-security-for-iot-devices/ > をもとに作成しています。
Check Point Researchについて
Check Point Researchは、チェック・ポイントのお客様、脅威情報コミュニティを対象に最新のサイバー脅威インテリジェンスの情報を提供しています。チェック・ポイントの脅威インテリジェンスであるThreatCloud < https://www.checkpoint.com/infinity/threatcloud/ > に保存されている世界中のサイバー攻撃に関するデータの収集・分析を行い、ハッカーを抑止しながら、自社製品に搭載される保護機能の有効性について開発に携わっています。100人以上のアナリストや研究者がチームに所属し、セキュリティ ベンダー、捜査当局、各CERT組織と協力しながら、サイバーセキュリティ対策に取り組んでいます。
ブログ: https://research.checkpoint.com/
Twitter: https://twitter.com/_cpresearch_
チェック・ポイントについて
チェック・ポイント・ソフトウェア・テクノロジーズ（https://www.checkpoint.com/）は、世界各国の政府機関や企業など、あらゆる組織に対応するサイバーセキュリティソリューションを提供するリーディングカンパニーです。Check Point Infinityの各ソリューションはマルウェアやランサムウェアを含むあらゆる脅威に対して業界トップクラスの捕捉率を誇り、第5世代のサイバー攻撃から企業や公共団体を守ります。Infinityは、企業環境に妥協のないセキュリティを提供し第5世代の脅威防御を実現する4つの柱で構成されています。リモートユーザー向けのCheck Point Harmony、クラウドを自動的に保護するCheck Point CloudGuard、ネットワーク境界を保護するCheck Point Quantum、そして防止優先のセキュリティオペレーションスイート、Check Point Horizonです。チェック・ポイントは10万を超えるあらゆる規模の組織を守っています。チェック・ポイント・ソフトウェア・テクノロジーズの全額出資日本法人、チェック・ポイント・ソフトウェア・テクノロジーズ株式会社（https://www.checkpoint.com/jp/）は、1997年10月1日設立、東京都港区に拠点を置いています。
ソーシャルメディア アカウント
・Check Point Blog: https://blog.checkpoint.com
・Check Point Research Blog: https://research.checkpoint.com/
・YouTube: https://youtube.com/user/CPGlobal
・LinkedIn: https://www.linkedin.com/company/check-point-software-technologies/
・Twitter: https://twitter.com/checkpointjapan
・Facebook: https://www.facebook.com/checkpointjapan
本件に関する報道関係者からのお問い合わせ
チェック・ポイント広報事務局 （合同会社NEXT PR内）
Tel：03-4405-9537 Fax：03-4332-2354
E-mail: checkpointPR@next-pr.co.jp