10 Breakthrough Technologies 2017: Botnets of Things モノのボットネット
家庭用ガジェットにネット接続機能が追加されて便利になるほど、ボットネットの攻撃性がさらに高まる副作用がある。
by Bruce Schneier 2017.02.23
- 実現時期
- 実現済み
ボットネットは少なくとも10年間から存在している。2000年には、ハッカーはインターネット経由でコンピューターに侵入し、中央からシステム全体を一括管理していた。しかもハッカーは、ボットネットによる集合的コンピューティング能力を活用し、膨大なアクセス量を送信しWebサイトを停止させる「分散型サービス不能（DDoS）攻撃」を編み出した。
しかし現在、「IoT」であふれかえる安価なWebカメラやデジタル映像レコーダー等のガジェットのせいで問題は悪化している。低価格なIoT機器は一般的にセキュリティが低いか、セキュリティが全く考慮されておらず、ハッカーは大した手間をかけることなく機器を乗っ取れるのだ。そのため、同時に複数のサイトを停止させてしまう巨大ボットネットの構築は、かつてないほど簡単になった。
2016年10月、10万台のウイルス感染ガジェットによるボットネットがインターネットのインフラ事業者を部分的にインターネットから締め出した。特にインターネットの基幹部分を担うダインを停止させた結果、さまざまな影響が発生し、最終的にはツイッターとネットフリックス、MIT Technology Review米国版等の多くの著名Webサイトが一時的にインターネットから消えてしまった。さらに攻撃が続くことは確実だ。ダインを攻撃したボットネットは一般入手可能なマルウェア「ミライ（mirai）」で、ボットネット構成コンピューターの操作の大半が自動化されている。
- モノのボットネット
-
- ブレークスルー Webカメラや映像レコーダー等の家庭用機器を制御し、インターネットの大規模な機能停止を引き起こすマルウェア。
- なぜ重要か ソフトウェアに基づいたボットネットがインターネットのより広範囲の部分を妨害しており、阻止するのがさらに難しくなっている。
- キー・プレーヤー ミライ（mirai）ボットネットを作ったのは、セキュリティの低い機器をオンラインで起動させている人全員（あなたも含まれているのでは？）だ。
- 実現時期 実現済み
最善の防護策は、オンラインで起動する機器をすべて安全なソフトウェアにすることだ。そうすればボットネットは構築できないが、今すぐには不可能だ。IoT製品はセキュリティを考慮して設計されておらず、セキュリティ機能を更新する方法がないことが多い。たとえば、ミライ（mirai）ボットネットの一部になってしまった機器は、持ち主が破棄するまで脆弱（ぜいじゃく）なままだ。今後数年で、脆弱な機器の数が桁違いに増加するのは確実で、ボットネットはさらに巨大で強力になるだろう。
ハッカーは、超巨大なボットネット何をするか？ たくさんのことを成し遂げるだろう。
ボットネットは、クリック詐欺（広告主を騙して、ユーザーが広告をクリックしている、あるいは広告を読んでいると誤認させる謀略）に使われる。クリック詐欺の実行方法はたくさんあるが、攻撃者にとって最も簡単なのはおそらく、グーグル広告を自分の所有するウェブ（Web）ページに埋め込むことだ。グーグル広告はクリックした人の数に応じてサイト所有者に広告料を支払う。攻撃者は自分のボットネット上の全てのコンピューターに繰り返しWebページを訪問し広告をクリックするように指示する。カチ、カチ、カチ、チャリーン！ ボットネット開発者がオンラインで大企業の売上高を吸い取る、もっと効果的な方法を見つけてしまえば、インターネットの広告モデル全体の崩壊もあり得ないことではない。
同様に、ボットネットはスパムフィルターを回避するためにも使える。どのコンピューターが何百万通ものメールを送信しているかわかれば、そのコンピューターに送信させればいいからだ。オンライン口座に侵入するパスワードを推測するスピードを早めたり、ビットコインを取り出したり、コンピューターの巨大ネットワークが必要などんなことでも可能になる。ボットネットは巨大ビジネスになっており、犯罪組織はボットネットを時間で貸借している。
とはいえ、最も注目されているボットネットの活動はサービス不能（DoS）攻撃だ。ダインは、一部の怒ったハッカーの犠牲になったようだが、金銭的な動機のあるグループは恐喝の形でDoS攻撃を使っている。政治的なグループも、DoSで好ましくないWebサイトを沈黙させる。DoS攻撃は確実に、今後のサイバー戦争の通常の戦術になるだろう。
ボットネットの存在がわかれば、その指揮系統を攻撃できる。ボットネットが珍しい存在だった頃であれば、この戦術は効果的だった。しかし、ボットネットが一般的化すれば、ある指揮系統を破壊しても、別のボットネットは生き残るため、防衛効果は薄れる。ボットネットの影響に対して、自己防衛も可能だ。たとえば、DoS攻撃への防衛策を販売している企業も数社ある。攻撃の重大度とサービスの種類によって、効果はそれぞれ異なる。
しかし全体としては、攻撃者に有利な傾向だ。今年もダインに対して起きた類いの攻撃がまた起きるだろう。
（ブルース・シュナイアー、IBMレジリエントのテクノロジー最高責任者、暗号とデータセキュリティに関する13冊の書籍の著者）