IoTが脅威であると言い始めた代表格はKapsersky LabのCEO、Eugene Kaspersky氏だと思う。しかし、特に影響を与えたのは連邦取引委員会（FTC）のChairwoman、Edith Ramirez氏ではないだろうか。2015年1月、彼女はCES（Consumer Electronics Show）の基調講演にて、IoTに対するセキュリティとプライバシーの問題を提示した（Opening Remarks of FTC Chairwoman Edith Ramirez Privacy and the IoT: Navigating Policy Issues International Consumer Electronics Show）。

　『IoTは消費者のプライバシーに次のような問題を提起している。1.どこでもデータを収集する、2.消費者のデータが想定外の使い方をされてしまう、3.セキュリティリスクを高める。これらプライバシーとセキュリティにおけるリスクは消費者の信頼を徐々に損なっていくだろう。つまり、新たなIoT製品とサービスであるIoTデバイスへのネットワーク接続の利用拡大にとって、信頼は重要なのである』（Ramirez氏）

　この発言には、2014年の夏に大きなニュースとなったハリウッドの写真流出事件（有名人がiPhoneで撮影した写真の自動バックアップがiCloud上にコピーされていることと管理について正しく理解していなかったため、第三者がそれらの写真を入手して公開してしまった）や、米スーパーマーケット「Target」で4000万件のクレジットカード情報と7000万件の個人情報漏えい事件が背景として存在する。

　その後、日常生活の安全面リスクも拡大してきたこともあり、2015年はIoTの潜在的なセキュリティリスクが明らかになった年として記憶されることになった。

自動車が「脆弱性」でリコールされる時代

　2015年の「Black Hat USA」（世界最大級のセキュリティイベント）にて脆弱性が話題となり、Fiat Chrysler Automobile（FCA）はジープ「グランドチェロキー」などをリコールすることになった（ただし、研究者が行ったのは調査研究の発表であって、悪意ある第三者によるサイバー攻撃やサイバー犯罪ではない）。

　どのようにしてハッキングしたのか詳しくは弊社のレポートを読んでいただくとして、手順としては以下の通りとなる。

• 1.　ヘッドユニット（車に搭載されているインターネット上の各種サービスを利用するための機器）にSprint社の携帯電話ネットワークを経由して接続。侵入するためのパスワードは車両の製造日時に依存するものだったために容易に特定できた。
• 2.　ヘッドユニットはCANバスにつながっていないが、別のCPUユニットを経由してCANバスにアクセスできるよう、別のCPUユニットのファームウェアを書き換えることで車両の制御に成功したのである。

チェロキーなどに搭載され、脆弱性が指摘された車載情報機器「Uconnect」。8.4インチのタッチパネルを搭載するモデルに脆弱性が存在した（出典：FCA US）

　既にお分かりの通り、ここでは組み込み開発者が陥りそうなワナがいくつか存在した。

• 1.　パスワードの生成アルゴリズムがバレると思わなかった
• 2.　システムの更新の仕組みが悪用できることは分かっていたが、誰かが侵入すると夢にも思っていなかった
• 3.　携帯電話のネットワークから侵入できないと思い込んでいた（あるいは無視していた）
• 4.　そもそも車のシステムに手間暇かけて侵入する者がいるということを想定しなかったので、CANバスとヘッドユニットとを物理的に分離しなかった

　パスワード生成アルゴリズムの調査にどれだけの時間がかかったか調査報告には書かれていないが、開発者が楽なことは解析も楽だということだ。この問題は、開発者の典型的な思い込みが脆弱性を生み出した良いサンプルだといえる。ちなみにSprintの携帯ネットワークにも問題があった。どのIPアドレスがFCAのヘッドユニットか分かるようになっていたのである。