ネットワークカメラなどのIoT機器が狙われる理由——「便利さ」の裏側にある構造的な弱点

「防犯のために設置したカメラが、攻撃の踏み台になっていた」——こうした事態は決して特殊なケースではありません。

近年、オフィスや工場、店舗にネットワークカメラや各種センサー、スマートデバイスといったIoT（Internet of Things：モノのインターネット）機器を導入する企業が増えています。遠隔からの映像確認や設備監視など、業務効率化の面でメリットは大きい一方で、これらの機器がサイバー攻撃の入口として悪用されるケースが増加しています。

なぜIoT機器は狙われやすいのか。本記事では、その構造的な理由を、特に「Telnet（テルネット）」と「初期パスワード」という2つの観点から掘り下げて解説します。

IoT（Internet of Things）とは、カメラ、センサー、複合機、入退室管理端末といった機器がネットワークに接続されることで、遠隔操作や状態監視、データ収集を可能にする仕組みです。現地に赴かずに拠点を管理できる利便性から、人手不足や働き方改革の文脈でも広く普及しています。

一方で、ネットワークに接続するということは外部からアクセスできる状態になるということでもあります。PCやサーバーと異なり、OS（オペレーティングシステム）のアップデートやセキュリティソフトの導入といった対策の組み込みが難しいという実情があります。

経済産業省が公表する資料によると、世界のIoT機器の数は2024年に399億台、2025年には440億台に達する見込みとされています（出典：経済産業省「IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会」資料）。
機器の数が増えれば増えるほど、攻撃者にとっては狙いやすいターゲットが増えることを意味します。

IoT機器がサイバー攻撃の標的になりやすい背景には、いくつかの共通した要因があります。

まず一つ目は、「Telnet」と呼ばれる古い通信方式の存在です。

一部のIoT機器では、保守やメンテナンスのためにTelnetが有効な状態で出荷されていることがあります。
あるいは、機器のマニュアルなどでは言及が無いにもかかわらず、実は有効になっているようなケースもあります。

Telnetは通信内容が暗号化に対応しておらず、安全性が低いという特徴があります。攻撃者はインターネット上を自動的にスキャンし、こうした機器を探し出して侵入を試みます。

二つ目は、初期パスワードの問題です。

IoT機器には初期設定のID・パスワードが用意されていますが、これを変更せずに使い続けているケースが少なくありません。こうした初期設定のID・パスワードは容易に突破されてしまいます。「admin」や「1234」といった単純なパスワードと同じく、実質的に無防備な状態といえます。

さらに見落とされがちなのが、管理体制の問題です。

IoT機器は設備担当者や外部業者によって導入されることも多く、IT部門がすべてを把握できていないケースがあります。その結果、「どの機器がどこにあり、どんな設定で動いているのか」が不明確になり、適切な管理や更新が行われないまま放置されてしまいます。

初期パスワードを必ず変更する

導入時に初期パスワードを変更することをルール化し、変更した記録を管理台帳に残してください。

不要なサービス・ポートを閉じる

Telnetなど使用していないサービスは無効化を検討してください。機器の仕様で変更が難しい場合は、メーカーへの確認やファームウェア更新で対応できるか確認します。

IoT機器を社内ネットワークから分離する

IoT機器専用のネットワークを分離することで、万が一侵害された場合でも社内システム全体への影響を抑えられます。

社内のIoT機器を棚卸しする

上記の対策は重要ですが、対応するためにはまず「何がつながっているか」を把握することが必要です。カメラ・センサー・複合機・ルーターなどを含めて一覧化し、担当者・設置場所・設定状況を管理できる体制を整えましょう。

IoT機器の棚卸にはIT資産管理ツールを使用すると、情報の収集を自動化でき工数の削減につなげることができます。

UTMでネットワーク全体を監視する

社内ネットワークとインターネットの境界にUTM（統合脅威管理）製品を設置することで、IoT機器を含む不審な通信を検知・遮断できます。IoT機器からの異常通信を早期に発見する手段として有効です。

宝情報で取り扱いしておりますUTMでは、IoTセキュリティとして個別にIoT機器にポリシーを設定可能なものもございます。

IoT機器が狙われる理由は、決して高度な技術的問題ではありません。

「初期設定のまま使っている」「不要な機能が有効になっている」といった基本的な部分が、攻撃のきっかけになっているケースが多く見られます。

まずは、自社の環境にどのような機器が存在しているのかを把握し、基本設定を見直すことが重要です。

日常的な管理とシンプルな対策の積み重ねが、セキュリティリスクの低減につながります。

本記事はサイバーセキュリティ対策に関する一般的な情報提供を目的としたものです。自社の規模・環境を考慮した上で、最適な製品をご選定ください。