部屋の温度を極寒に固定して身代金を要求するIoT機器のランサムウェアが初登場

By Robert R Gigliotti

インターネットに接続してさまざまな操作を可能にするIoT家電の普及が進んでいますが、自宅の冷暖房機器を管理するスマートサーモスタット「Nest Thermostat」も有名なIoT家電のひとつです。そんなNest Thermostatに感染して、部屋の温度を極寒に固定し、数百ドルの身代金を支払うまで一切の操作をできなくするという世界初のスマートデバイス向けランサムウェアが登場しました。

Hackers Make the First-Ever Ransomware for Smart Thermostats | Motherboard
http://motherboard.vice.com/read/internet-of-things-ransomware-smart-thermostat

スマート家電などのIoT機器の普及に伴い、セキュリティ専門家は「多くのIoT機器は安全ではないインターネット接続を行っている」と指摘しています。実際にIoT機器を狙ったウイルスなどはまだ発見されていませんが、2人のセキュリティ研究者がNest Thermostatに感染するランサムウェアを開発しました。

By Nest

ランサムウェアの制作者はAndrew Tierney氏とKen Munro氏で、イギリスのTest Partnersというセキュリティ企業の従業員。2人が作ったランサムウェアはNest Thermostatのコントロールを奪い、部屋の温度を極寒に設定した状態で身代金を要求するというもので、Nest Thermostatの液晶ディスプレイでLinuxを実行し、以下のような金銭を要求する画面を表示させるとのこと。Nest Thermostatのランサムウェアは2016年8月4日～7日にかけて行われたハッキング・カンファレンス「Def Con」で概念実証モデルとして発表されました。

ランサムウェアは本体にSDカードを挿入することで感染し、機器のフルコントロールを奪います。研究者はNest Thermostatが挿入されたSDカードに含まれるファイルをほとんどチェックせずに実行していることに気づき、マルウェアを作り上げたとのこと。悪意のあるハッカーがNestを装ってSDカードを送付するなどして、ユーザーがSDカードを挿入すれば自動的にプログラムが実行し、実際にNest Thermostatをハッキングすることが可能です。

IoT機器を使用する上で安全対策ができていないことを知らしめることが制作者の目的であり、2人は「ユーザーは自分のIoT家電がどうやって動いて、何を行っているのかわかっておらず、家電をコントロールできていない状態です。また、理解できていないものを使用するため、その対処法も持ち合わせていないのです」と警告しています。

なお、iOS 10からはiPhoneでIoT機器を操作できる公式機能が搭載される予定で、今後家中の家電がますますインターネットに接続していく時代になります。以前にSamsungのスマート冷蔵庫からGoogleアカウントのログイン情報が流出する可能性のある脆弱性が指摘されたこともあるため、IoT機器を扱うにあたってセキュリティの強化が求められています。