30秒で分かる結論

家庭用のWi-Fiルーターやネットワークカメラなどの「IoT機器」の多くは、購入時に「admin」「password」のような初期設定しょきせっていのID・パスワードがあらかじめ設定されています。IPA（情報処理推進機構）は、これらの初期パスワードを変更せずに使い続けることについて、公式サイトで注意を呼びかけています。総務省・NICT（情報通信研究機構）も、脆弱なID・パスワードのまま外部からアクセスできる状態のIoT機器を調査し、利用者へ注意喚起する「NOTICE」という取り組みを継続しています。初期パスワードのままの機器は、外部から短時間で乗っ取られる可能性があります。設定は数分で終わるため、まだ変更していない場合はこの機会に確認してください。

まず初めに

結論から言う。「admin」「password」「12345」。これがルーターの鍵だと聞いて、笑うか青ざめるかは自由だ。だが笑って済ませられないのは、この手抜きパスワードが1台だけの問題ではなく、同じ型番の機器すべてに使い回されているという点だ。つまり、あなたの家のルーターの鍵は、量産型の合鍵として、すでにインターネットのどこかに公開されている。玄関の鍵を交換せずに「うちは大丈夫」と言い張るような話であり、国の機関がわざわざ「変えてください」と呼びかけ続けている時点で、察するべきである。※個人の感想です

なぜIoT機器の初期パスワードが狙われるのか

Wi-Fiルーターやネットワークカメラ、スマート家電といった「IoTあいおーてぃー機器」（インターネットに接続する機器全般を指す言葉）は、購入してそのまま使い始められるよう、メーカーが出荷時に共通のID・パスワードをあらかじめ設定していることが一般的です。IPAは公式サイトで、こうしたIoT機器について「利用前に必ずパスワードの変更を」と題した注意喚起を公開しており、初期設定のID・パスワードのままでは、第三者による不正アクセスの被害に遭うおそれがあると説明しています。

問題は、この初期パスワードが機器の取扱説明書やメーカーの公開資料に記載されており、同じ機種を使っている人だけでなく、インターネット上の誰もが調べられる状態にあるという点です。攻撃者は、こうした「よく使われる初期パスワードの一覧」を使って、インターネットに接続されている機器へ次々とログインを試みるプログラムを動かすことができます。IPAは、パスワードの設定にあたっては、できるだけ長く複雑なものにし、他の機器やサービスと使い回さないよう案内しています。

総務省は、国立研究開発法人情報通信研究機構（NICT）や一般社団法人ICT-ISAC、インターネットサービスプロバイダー（ISP）などと連携し、「NOTICE（ノーティス）」と呼ばれる取り組みを実施しています。総務省の公式発表によると、NOTICEは、脆弱なID・パスワードの設定などによってサイバー攻撃に悪用されるおそれのあるIoT機器を調査し、該当する機器の利用者に対してISP経由で注意喚起を行う取り組みです。令和6年度からは、ID・パスワードの脆弱性だけでなく、脆弱なファームウェア（機器を動かす基本的なソフトウェア）を使っている機器や、既にマルウェア（不正なソフトウェア）に感染している機器も、新たに調査の対象に加えられています。

初期パスワードのままだと何が起きるのか

初期パスワードのまま外部からアクセスできる状態のIoT機器は、いくつかの被害につながる可能性があります。1つは、ネットワークカメラの映像やルーターの通信内容など、機器が扱う情報を第三者にのぞき見られることです。もう1つは、機器を乗っ取られ、他のサーバーやサービスへ攻撃を仕掛けるための「踏み台ふみだい」として悪用されることです。

自分の機器が加害者側に回っていることに、被害者本人がまったく気づいていないケースも珍しくない。

過去には、初期設定のID・パスワードを狙って世界中のIoT機器に次々と感染を広げる「Mirai(ミライ)」と呼ばれるマルウェアが確認され、大きな話題になったこともあります。この種のマルウェアは、感染した機器を多数まとめてネットワーク化した「ボットネット」を作り、特定のサーバーへ一斉に大量のアクセスを送りつける攻撃などに悪用します。IoT機器は、パソコンやスマートフォンと違って、利用者が日常的に画面を確認する機会が少なく、乗っ取られていることに気づきにくいという特徴があります。

私たちへの影響

この問題は、企業のシステム管理者だけでなく、家庭でWi-Fiルーターやネットワークカメラ、スマート家電などを使っているすべての人に関わります。特にルーターは、家庭内のすべてのインターネット通信の入り口にあたる機器であるため、ここが乗っ取られると、同じネットワークにつながっている他の機器にも影響が及ぶおそれがあります。

在宅ワークで自宅のネットワークを仕事にも使っている場合は、家庭用ルーターの安全性が、そのまま仕事上の情報の安全性にもつながります。IPAや総務省が呼びかけの対象を「企業」ではなく「利用者」全般としている点からも、この問題が一部の専門家だけの話ではないことがうかがえます。

初心者が知っておくべきこと

自分のルーターやIoT機器の初期パスワードを変更したかどうか分からない場合は、次の手順で確認できます。

  1. 機器の取扱説明書や、本体に貼られたシールで、管理画面へのログイン方法（多くの場合はブラウザから特定のアドレスへアクセスする形式）を確認する
  2. 管理画面にログインし、現在のログインパスワードが、シールに記載されている初期値のままになっていないか確認する
  3. 初期値のままだった場合は、他のサービスで使っていない、長く複雑なパスワードに変更する
  4. あわせて、メーカーが提供する最新のファームウェアが適用されているかも確認する

パスワードを変更する画面が見当たらない場合や、操作方法が分からない場合は、機器のメーカーが公開しているサポートページや、購入した販売店に問い合わせる方法もあります。

よくある質問

Q. 初期パスワードを変更していれば、それだけで安全といえますか。

パスワードの変更は基本的な対策の一つですが、それだけで万全というわけではありません。総務省のNOTICEの取り組みが、パスワードの脆弱性に加えてファームウェアの脆弱性やマルウェア感染も調査対象にしているように、ソフトウェアを最新の状態に保つことも合わせて重要です。

Q. 自分の機器が調査や注意喚起の対象になっているかどうかは、どこで分かりますか。

総務省とNICTが実施するNOTICEでは、調査によって該当する機器が見つかった場合、契約しているインターネットサービスプロバイダー（ISP）を通じて利用者へ注意喚起が行われる仕組みになっています。心当たりがない場合でも、自分から定期的に設定を見直しておくことが、待たずにできる対策です。

IT Postの見方

IT Postでは、家庭用IoT機器の初期パスワード問題が、国の機関が繰り返し呼びかけを続けなければならないほど長期間解決していないこと自体に、この問題の根深さが表れていると考えます。利用者に「設定を確認してください」と呼びかけるだけでは限界があり、出荷時点でランダムな個別パスワードを設定する、初回起動時にパスワード変更を必須にするといった、メーカー側の設計の工夫がもっと広がってよいのではないかとIT Postでは考えます。実際、一部のメーカーはすでにこうした対応を取り入れていますが、業界全体で標準になっているとは言えません。利用者側の注意だけに頼る構図が続く限り、同じ注意喚起は今後も繰り返されるはずです。※個人の感想です

今後どうなりそうか

総務省のNOTICEは、対象をID・パスワードの脆弱性だけでなく、脆弱なファームウェアやマルウェア感染にも広げるなど、取り組みの範囲を段階的に拡大させています。IoT機器の種類が今後も増え続けることを踏まえると、こうした調査・注意喚起の取り組みが継続されるかどうかは、家庭のネットワーク全体の安全性に関わる問題です。IT Postでは、NOTICEをはじめとするIoT機器のセキュリティ対策に関する動きを、引き続き取り上げます。