この事象が教えてくれること

　製造元のキヤノンは、この脆弱性を受け下記の点に気を付けるべきとアピールしています。

• カメラを接続するPC、モバイル端末は、ルーターなどを含めた接続機器のセキュリティに関する設定を適切に行う。
• セキュリティ対策の安全性が確認できないフリーWi-Fiなどのネットワーク環境で使用するPC、モバイル端末に、カメラを接続しない。
• ウイルス感染などの可能性があるPC、モバイル端末にカメラを接続しない。
• カメラのネットワーク機能を使用しない場合は、同機能をOFFにする。
• カメラのファームウエアアップデートは、製造元のホームページから正規のファームウエアをダウンロードして行う。

　やはり重要なのはファームウエアアップデート。デジタルカメラは基本的にPCと直結しても、それをインターネットと直結することはまれでしょうから、意識的にファームウエアをアップデートしようと考える人は少ないかもしれません。致命的な攻撃が可能な脆弱性が修正されたアップデートを、どうやって利用者に伝えていくかという点は、IoTデバイスが持つ共通の課題です。

　もしそれがシェアの高いデバイスであれば、攻撃にも“うまみ”が出てきます。そうなると、攻撃者が偽のファームウエアをダウンロードさせるべく、フィッシングサイトを作ってくるかもしれません。利用者は必ず正規のファームウエアかどうかを確認すること、そして製造者はファームウエアアップデートの手順をそういった悪意からも守れるようなガイドをする必要があるでしょう。

攻撃者は、利用者が「一番攻撃されると困る場所」を狙う

　今回の攻撃を「脆弱性を見つけ、それを的確に攻撃し、CPUリソースを使いダメージを与える」ととらえると何ら特別な点はないとも言えます。それがたまたま、デジタルカメラというインターネットに接続可能な“IoTデバイス”だったというだけです。しかし、その攻撃によるダメージは、利用者が最も困る方法で与えられているのがポイントです。デジタルカメラで撮影した写真は、その利用者だけが持っている、世界で唯一のデジタルデータ。それを暗号化するという行為は、極悪非道といってもいいほどでしょう。

　製造者の視点でも、この攻撃内容は頭を抱えるものかもしれません。ファームウエアアップデートの手段を提供することは必須、かつ、どうやってアップデートをしっかり適用してもらうかも合わせて考えなくてはなりません。

　おそらく多くの利用者は、PCでもスマホでもない、ましてや常時インターネットにつながないデジタルカメラのようなデバイスにそんな“穴”があることすら認識していませんし、ましてや大事なデータがPCでもないのにランサムウェアによって破壊されるとは思わないでしょう。アップデートの重要性は、PCやスマホでは徐々に浸透しつつあります。しかし、そうでないデバイスの場合、製造者はより手軽にアップデートが行える仕組みを提供することが重要です。

　もちろん、IoTに限らず「そもそも脆弱性を可能な限りなくす」というのが基本です。しかし脆弱性というものは、完全になくすことは不可能といえるでしょう。次に必要なのは「脆弱性が見つかったときに修正を行い、それを適用する」方法を作っておくことが重要です。

　そうなると、次はアップデート情報を利用者に伝え、適用してもらう必要があります。普段インターネットにつながっていないデバイスは、定期的にPCと接続してもらってアップデートを自動適用するくらいの方法が必要でしょう。最近のWebブラウザはほぼ強制的にアップデートがかかるようになっていますが、もはや大きな反発はありません。IoTデバイスも定期健診が必要、という認識が必要なのかもしれませんね。

　インターネットに接続する、PCに接続する、大事なデータを作り出すといった機能を持つIoTデバイスを製造する方にとって、このデジタルカメラの脆弱性は他人ごとではないと思います。その製品を使っている利用者は、デバイスとともに「大事な思い出」を作り出しているかもしれません。デバイスと思い出の両方を守るためにも、脆弱性をどうつぶしていくのか、デバイスを取り巻く環境を含めて考えてみる必要があるでしょう。（次回に続く）

⇒ 新着ホワイトペーパーをチェックする

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さまに覚えていただけるようなコラムにしたいと思います。お楽しみに！