御社のWi-Fiが加害者に？IoT機器を狙うサイバー攻撃対策
1. なぜ「御社のWi-Fiが加害者に」なり得るのか
結論から申し上げますと、セキュリティ対策が不十分なIoT機器は、サイバー犯罪者が自身の身元を隠すための「踏み台」として利用され、知らないうちに自社が攻撃の加害者側に仕立て上げられるリスクを常に抱えています。
IoT機器（Internet of Things）とは、インターネットに接続された防犯カメラ、スマートロック、ネットワークストレージ（NAS）、そして業務に欠かせないWi-Fiルーターなどを指します。現在、総務省が注意喚起を行っているのは、これらの機器が「レジデンシャルプロキシ（RP）」と呼ばれるサービスのネットワークの一部として、本人の知らないところで悪用されている実態です。
多くの経営者は「自社の情報が盗まれること」を最大の懸念事項として捉えています。しかし、現在のサイバー攻撃のトレンドはそれだけではありません。犯人の狙いは、貴社のインターネット回線そのものを「乗っ取る」ことにあります。正規の契約者が利用している回線を経由することで、攻撃者はあたかも「日本の一般的な企業や家庭からのアクセス」であるかのように装い、他サイトへの不正ログインやサイバー攻撃を仕掛けます。
実際に現場でネットワーク診断を行っていると、10年近く前に導入されたWi-Fiルーターが、埃を被りながらも現役で動いている光景に遭遇することが珍しくありません。しかも、その多くは外部から管理画面にアクセス可能な設定のまま放置されています。私のようなコンサルタントが指摘するまで、経営者がその危険性に気づくことはまずありません。「うちのような小さな会社に価値のある情報はない」という油断が、結果としてサイバー犯罪者の隠れ蓑を無料で提供していることになっているのです。
2. 巧妙化する「レジデンシャルプロキシ」の脅威と仕組み
レジデンシャルプロキシとは、世界中の一般家庭や企業が契約している本物のインターネット接続環境（IPアドレス）を、第三者が中継地点として利用できるサービスです。本来は市場調査などの正当な目的で使われることもありますが、現在その多くがサイバー攻撃のインフラとして悪用されています。
この仕組みの恐ろしい点は、攻撃の「発信元」が貴社の住所や名称になってしまうことです。通常、企業のセキュリティ対策ソフトやWebサービスの防御システムは、不審な海外IPアドレスからのアクセスを遮断するように設計されています。しかし、レジデンシャルプロキシによって「日本国内の信頼できる企業の回線」を経由されると、防御システムはそれを正常なアクセスだと誤認し、通過させてしまいます。
もし、貴社の回線を経由して大手銀行への不正送金や、政府機関へのサイバー攻撃が行われた場合、捜査機関が最初にたどり着くのは攻撃者本人ではなく、貴社のオフィスです。警察の家宅捜索を受けたり、プロバイダから回線停止措置を取られたりするだけでなく、「御社のWi-Fiが加害者に」なったという事実が公になれば、取引先からの信頼は一瞬で崩れ去ります。
通信速度がわずかに低下する、あるいはルーターが時々再起動するといった些細な予兆を除けば、この乗っ取りに気づくことは専門知識なしでは困難です。サイバー犯罪者は、貴社の業務を妨害したいわけではなく、あくまで「静かに、長く利用し続けること」を目的としているからです。
3. 総務省の提言から読み解くIoT機器のセキュリティ課題
総務省が公表した「家庭用IoT機器を悪用するレジデンシャルプロキシの対策について（提言）」では、IoT機器のセキュリティ設定の甘さが、国家レベルのセキュリティリスクに発展していることが強調されています。
この提言の中で指摘されている主な課題は、大きく分けて「管理の不備」と「機器の老朽化」の2点です。多くのIoT機器は、一度設置してしまえば、故障するまでその存在を忘れ去られがちです。PCやスマートフォンであれば頻繁にOSのアップデートを行いますが、防犯カメラやWi-Fiルーターの「ファームウェア（内部ソフト）」を定期的に更新している企業は、全体の数パーセントにも満たないのが実情ではないでしょうか。
また、UPnP（ユニバーサルプラグアンドプレイ）という、機器同士を自動で接続する便利な機能が、外部からの侵入経路として悪用されている点も大きな課題です。多くの初期設定ではこの機能が有効になっており、サイバー攻撃者はこの「空いた扉」から容易に内部ネットワークへ侵入し、レジデンシャルプロキシのソフトウェアを勝手にインストールしてしまいます。
総務省はメーカーに対しても、初期パスワードの強制変更や、セキュリティサポート期限の明示を求めていますが、すでに導入済みの機器については、利用者の自己責任において対策を講じるほかありません。特に、中古で購入した機器や、メーカーのサポートが終了している古い製品を使い続けることは、自ら犯罪者に鍵を渡しているのと同じ状態だと言わざるを得ません。
4. IoT機器を狙うサイバー攻撃から身を守る5つの実践的対策
IoT機器を守り、自社がサイバー攻撃の加害者にならないためには、「入り口を閉ざす」「常に最新を保つ」「異常を検知する」という3つの視点に基づいた具体的なアクションが必要です。
第一に、すべてのIoT機器のパスワードを、工場出荷時の初期設定から「12文字以上の複雑な文字列」に変更してください。犯罪者は、メーカーごとに設定されたデフォルトのパスワードリストを持っており、自動化されたプログラムで片っ端からログインを試行します。これだけで攻撃の9割以上を防げると言っても過言ではありません。
第二に、ファームウェアの自動更新設定を必ず「オン」にしてください。メーカーは脆弱性が見つかるたびに修正プログラムを配布していますが、手動更新のままでは放置されるリスクが高すぎます。もし自動更新機能がない古い機器を使用している場合は、それ自体が買い替えのサインです。
第三に、ルーターの「UPnP機能」および「外部管理機能」を無効化することです。社外から社内ネットワークにアクセスする必要がある場合は、安易な機能開放ではなく、VPN（仮想専用線）などの安全な通信手段を構築すべきです。
第四に、社内のネットワークを「業務用」と「IoT・ゲスト用」で物理的、または仮想的（VLAN）に分離することをお勧めします。万が一、防犯カメラが乗っ取られたとしても、そこから基幹システムや顧客データが保管されているサーバーへ侵入されるのを防ぐためです。
第五に、5年以上前に購入したネットワーク機器は、最新のセキュリティ規格（WPA3など）に対応した製品へ速やかにリプレースを検討してください。古い機器を使い続ける維持コストよりも、万が一の事故が起きた際の損害賠償や社会的信用の失墜による損失の方が、比較にならないほど巨額になるからです。
5. 経営者が主導すべき「IT資産管理」とリスクマネジメント
サイバー攻撃対策は、もはやIT担当者だけの問題ではなく、経営者が主導すべき重要なリスクマネジメントの一環です。
まずは自社にどのようなIoT機器が何台接続されているのか、「IT資産管理台帳」を作成することから始めてください。実際に把握されていない「野良Wi-Fiルーター」や「忘れ去られたネットワークHDD」が発見されることがあります。これらは管理の目が行き届かないため、攻撃者にとって格好の標的となります。
次に、年に一度は「セキュリティ点検の日」を設け、全機器のパスワード変更状況やファームウェアのバージョンを確認する習慣を組織に定着させてください。専門的な知識を持つ人材が社内にいない場合は、信頼できるITパートナーと保守契約を結び、定期的な脆弱性診断を受けることも有効な投資となります。
総務省の提言は、単なる技術的なアドバイスではなく、日本全体のデジタル社会を守るための警鐘です。御社のWi-Fiが加害者に、そしてサイバー攻撃の拠点にされないために。今、足元にある小さな機器の設定を見直すことが、結果として貴社の大切なブランドと顧客、そして社員を守ることにつながります。まずは今日、オフィスの隅で点滅しているルーターの型番を確認することから始めてみてはいかがでしょうか。