IoT機器をNICTがリモートから調査、危険なパスワードであれば利用者に注意：攻撃に使われたパスワードなどを入力

総務省とNICTはIoT機器をリモートから調査し、危険なパスワードが設定されている機器のユーザーにパスワードの変更やファームウェアの更新などを促す取り組みを2019年2月20日に始める。

[＠IT]

　総務省と国立研究開発法人情報通信研究機構（NICT）は2019年2月1日、インターネットプロバイダーと連携して、サイバー攻撃に悪用される恐れのあるIoT（Internet of Things）機器を調査し、ユーザーに注意を喚起する取り組み「NOTICE（National Operation Towards IoT Clean Environment）」を2019年2月20日から実施すると発表した。

　2018年11月1日に施行された「電気通信事業法及び国立研究開発法人情報通信研究機構法の一部を改正する法律」に基づき、NICTが2月20日からIoT機器を調査する。

　この調査は、IoT機器に設定されているパスワードが「password」や「123456」など、容易に推測されるものかどうか、これまでにサイバー攻撃で利用されたものではないかどうかを確認するもの。総務省やNICTによれば、IoT機器の内部に侵入したり、通信の秘密を侵害したりするものではないという。

NOTICEの実施概要（出典：総務省）

プロバイダーから連絡が来る

　同調査によって、危険なパスワードが設定されたIoT機器を見つけたら、その機器の情報をインターネットプロバイダーに通知する。インターネットプロバイダーは、当該機器のユーザーを特定し、注意を喚起する。

　総務省とNICTは、IoT機器のユーザーからの問い合わせに対して適切なセキュリティ対策を案内するNOTICEサポートセンターを設置する。

NOTICEサポートセンターの連絡先（出典：総務省）

　なおNOTICEサポートセンターでは、「IoT機器ユーザーへの注意喚起はユーザーが契約するインターネットプロバイダー以外からは行わない。インターネットプロバイダーからの注意喚起や、NOTICEサポートセンターでの案内に当たっては、費用の請求や、設定しているパスワードを聞き出すことは絶対にない」としている。

　政府がNOTICEの取り組みを開始した背景には、IoT機器を狙ったサイバー攻撃が増えていることがある。PCと異なりIoT機器は、機器の性能が限定されている他、管理が行き届きにくかったり、設置後は比較的長期間にわたって利用されたりしている。

　セキュリティ対策に不備があると、マルウェアへの感染や、サイバー攻撃への悪用といった恐れがあるため、2020年のオリンピック・パラリンピック東京大会などを控えて、対策の必要性が高まっている。

　「電気通信事業法及び国立研究開発法人情報通信研究機構法の一部を改正する法律」は、こうした背景から5年間の時限措置で、サイバー攻撃に悪用される恐れのある機器の調査などをNICTの業務に追加することを目的として施行された。