JPCERTコーディネーションセンター（JPCERT/CC）は4月，ルーターをはじめとする組み込み機器に関するぜい弱性情報の公開件数が増えているとの警告を出した。ネットワーク機器への攻撃は，知らぬ間に情報を盗まれる被害にもつながる。「その時」に備え，対処法を考える必要がありそうだ。
ネットワーク機器を中心とする組み込み機器のぜい弱性情報の公開件数が増えている－－。コンピュータ・セキュリティ関連の情報収集やインシデント対応を支援するJPCERTコーディネーションセンター（JPCERT/CC）は，2008年第1四半期の動向を総括したレポートの中でこう警告した。
JPCERT/CCと情報処理推進機構（IPA）はこの期間，組み込み機器に関して，3件のぜい弱性を公表している。ヤマハ製のルーター，アイ・オー・データ機器製のルーター，キヤノン製のデジタル複合機およびレーザー・プリンタに関するものである（表1）。いずれも，ネットワーク越しに攻撃を仕掛けられると，勝手に通信の経路を変えられたり，攻撃の踏み台にされたりするぜい弱性だった。
| 表1●2008年第1四半期に情報処理推進機構およびJPCERTコーディネーションセンターに報告された組み込み機器のぜい弱性 | ||||||||||||
|
「偶発的に増えたのではなく，今後も同じようなペースでぜい弱性が公開されると見ている」（JPCERT/CCの情報流通対策グループグループマネージャ情報セキュリティアナリストの古田洋久氏）。2008年末には10件を超える可能性がある。
四半期で3件と聞くと少なく感じるかもしれない。ただ組み込み機器のぜい弱性は，「2007年まではせいぜい年に１，2件しか公開されてこなかった」（古田氏）。公開されるぜい弱性情報は氷山の一角。ユーザーから報告されないまま放置されているぜい弱性はかなりの数に上ると考えられる。
報告数増加は研究者の危機感の表れ
JPCERT/CCは報告が増えている背景として，ぜい弱性を報告する研究者たちが組み込み機器に注目していることを挙げる。「今後，犯罪者が本格的に組み込み機器を狙って攻撃してくることに危機感を持っている」（古田氏）のである。
実際，組み込み機器を狙った攻撃は，海外で徐々に見られるようになってきた。2008年1月には，細工されたWebページを閲覧するとJavaScriptが動作し，ルーターの設定を書き換える攻撃がメキシコを中心に発生した。ほぼ同時期に，Flashを使ってUniversal Plug and Play（UPnP）対応のルーターの設定を書き換える攻撃手法がインターネット上で公開された。レイヤー2スイッチの設定情報を書き換えてしまうツールもインターネット上で出回っている。このツールは，同じデータ・センターにユーザー用のサーバーAと犯罪者の管理下にあるサーバーXがある場合，外部からAへのトラフィックを勝手にXに振り向けてしまう。
ネットワーク機器への攻撃は，パソコンやサーバーなどユーザーがじかに操作する機器への攻撃に比べて検知が難しい。こうした攻撃が一般的になると，知らないうちに情報が盗まれる事件が今まで以上に増える懸念がある。
攻撃を防ぐには，「パソコンやサーバーと同様にぜい弱性が公表されたら，セキュリティ・パッチを適用したり，セキュアな設定に変更することが必要だ」（JPCERT/CCの経営企画室業務統括の伊藤友里恵氏）。
ネットワーク機器は停止による影響が大きく，パッチ適用や設定変更を気軽に実施できないのが実情。とはいえ，「被害を受けることを考えれば，とにかくやらなければならない」（伊藤氏）。企業は，ネットワーク機器についてもパッチ適用や設定変更の手順を整える必要がありそうだ。
