被害事例 case.1 複合機
•
2016年1月に、複数の学術機関において複合機が
インターネットからアクセス可能となっていたと報道
–
26校が該当
–
メールアドレスや文書のファイル名等が閲覧できた
•
2013年に続き、IPAで再度注意喚起を実施
http://www.asahi.com/articles/ASHDD45K9HDDPTIL00B.html
https://www.ipa.go.jp/security/ciadr/vul/20160106-printer.html 7
被害事例 case.2 ウェブカメラ
•
海外のサイトにおいてインターネットに公開されて
いるウェブカメラの一覧が掲載されていると報道
–
医療機関や製造会社に設置
された防犯カメラも含まれていた
–
IDやパスワードが設定されてい
ない機器が確認されている
•
外部からアクセス可能なウェブ
カメラについては2015年3月に
も報道されている
ウェブカメラ一覧
8
http://www.sankei.com/west/news/160330/wst1603300055-n1.html
http://www.asahi.com/articles/ASH3654C1H36PTIL00W.html
被害事例 case.3 ルータ
9
•
ルータが乗っ取られ、DDoS攻撃等への悪用が可
能になっていると報道
–
全てのルータで
リモートアクセスが可能
–
ほぼ全てのルータが
初期パスワード
を変更していない
–
LAN内の他の機器にアクセスされる可能性もある
http://japan.zdnet.com/article/35064561/
内部だけでなく、外部への攻撃にも悪用される
検索エンジンの活用
～問題が存在する機器の探索1～
•
MongoDBというデータベースソフトが不適切な設定
のために外部からアクセス可能になっていると報道
–
Shodanで調査した結果、海外で投票者の情報を発見された
•
ファイアウォールの製品に遠隔アクセスが可能な
脆弱性が存在すると報道
–
検索エンジンを使用して、5万台以上が
がインターネットからアクセス可能と確認
–
1500台以上がパッチを適用されていない
13
http://www.itmedia.co.jp/enterprise/articles/1502/23/news141.html
http://arstechnica.co.uk/security/2016/04/millions-of-mexican-voter-records-leaked-amazon-cloud/
http://www.securityweek.com/backdoors-not-patched-many-juniper-firewalls
検索エンジンの活用
～問題が存在する機器の探索2～
•
米国でガソリンポンプの監視システムへの攻撃を
確認したと報道
–
Shodanによる調査の結果、米国で多数の監視システム
がインターネット上に公開されていた
•
海外でトラックの通信機器にインターネットからアク
セス可能だったと報道
–
Shodanによる調査で、数百の機器を確認した
–
多くの機器はアクセスに
認証の必要がなかった
14
http://blog.trendmicro.co.jp/archives/10922
http://news.softpedia.com/news/internet-connected-trucks-can-be-tracked-and-hacked-researcher
-finds-501415.shtml
•
必要がない機器を外部ネットワークに接続しない
•
原則ファイアウォールやブロードバンドルータを経
由させ、許可する通信を限定する
対策
～ネットワークによる保護～
悪意ある第三者
外部からの利用者や
ベンダーの保守員
管理者
利用者
16
対策
～適切な設定～
•
管理者用のアカウント/パスワードを初期値から変更
•
ソフトウェアを最新の状態に更新する
悪意ある第三者
外部からの利用者や
ベンダーの保守員
管理者
利用者
17
「ｉパス」は、ITを利活用する
すべての社会人・学生
が備えておくべき
ITに関する基礎的な知識が証明できる国家試験です。
ITパスポート公式キャラクター
上峰亜衣（うえみねあい）
【プロフィール：マンガ】 https://www3.jitec.ipa.go.jp/JitesCbt/html/uemine/profile.html
20
