【CSIJコラム11（2023,9,1）】
「家庭用ルーターの不正利用に関する注意喚起」
CSIJ評価分科会メンバー 小川 魁
2023年5月8日以降、コロナウイルスが5類感染症の扱いに移行されたことを受け、感染症対策としてリモートワークを導入していた企業はオフィスワークに切り替える一方で、ハイブリットワークと呼ばれる働き方も生まれています。
ハイブリットワークとは、週5日勤務のうち3日は自宅で仕事をし、残りの2日はオフィスに出勤するといった、リモートワークとオフィスワークの良いところを取った働き方です。
帝国データバンクは、ハイブリッドワークを含め、「5類」移行後も約40%の企業がリモートワークを継続するとの調査結果を報告しています[1]。
リモートワークを継続する企業では、社内ネットワークに接続する経路として、社員が自費で購入し管理するルータを使用していることが想定されます。しかし、個人で管理される家庭用ルータは企業の管理下にあるネットワーク機器とは違い、以下の状態であることが多く、攻撃者の標的になることが懸念されます。
-
初期設定のままルータを使用している
-
推測しやすいパスワードを設定している
-
脆弱性を放置している
-
SSIDを初期設定のままにしている
実際に家庭用ルータを狙ったサイバー攻撃が報告されており、侵害した家庭用ルータをボットネットに組み込みDDoS攻撃等の様々な攻撃を実行した事例[2]や、家庭用ルータを経路に標的の組織へのサイバー攻撃に繋げる手法も報告されています[3]。
警視庁は2023年3月に「家庭用ルーターの不正利用に関する注意喚起について」[4]を発表し、以下の対策をとるよう推奨しています。
-
初期設定の単純なIDやパスワードは変更する
-
常に最新のファームウェアを使用する
-
サポートが終了したルータは買い替えを検討する
-
見覚えのない設定変更がなされていないか定期的に確認する
警視庁だけでなく、総務省やNSA（National Security Agency）もホームネットワークに関連するガイドラインを発行しており[5][6]、ハイブリッドワークやリモートワークが続く中で、企業は社員のホームネットワーク環境にも目を向けるべきであることが分かります。
家庭用ルータのセキュリティ対策は、企業の情報資産を守るためにも重要な要素となり得ると考えられます。企業は社員に対して、自宅のルータのセキュリティ対策の重要性を理解させ、適切な対策を実施するよう指導することが求められます。
具体的な対策に悩まれる方はCSIJの会員企業へぜひご相談ください。セキュリティのスペシャリストが適切な対策をご提案いたします。
引用