サイバー攻撃｢DDos｣の脅威に立ち向かえるか ｢IoT｣世界普及で広がるセキュリティの課題

まず冒頭の「過去最大級のDDos攻撃」と言われたケースについてもう少し掘り下げる。この攻撃では、インターネットに繋がった電気機器であるIoT機器が悪用されていた。どんなIoT機器かというと、私たちの身近に増えつつある監視カメラやコードレスのカメラ、デジタル機器をつなぐルータ、個人などが使うデジタルビデオ・レコーダーといったものだ。

実は、2017年12月に起訴が発表された3人は、ダイン社に対する大規模DDos攻撃に直接手を下したかどうかは明らかになっていない。ただ少なくとも、彼ら3人はこの攻撃に使われたIoT機器をハッキングして支配するための「Mirai（ミライ）」というマルウェア（悪意あるプログラム）を製作し、自分たちも何件かのサイバー攻撃で使っていた。

「Mirai」を作り上げた3人の素性は、大それたサイバー攻撃を行う犯罪者には思えないものだった。12月に米司法省が公表した裁判資料によれば、この3人はネット上で知り合っている。主犯格のパラス・ジハ被告（21）は、事件当時、実家暮らしの大学生だったが、自らDDos攻撃を軽減させるサービスを提供するIT企業を立ち上げていた。あとの2人も20歳と21歳の若者だ。

ちなみに「Mirai」は日本語の「未来」のことで、日本のTVアニメ「未来日記」から取ったものだった。

ジハが「Mirai」で狙ったのはセキュリティの甘いIoT機器であり、従来のDDos攻撃で使われてきたパソコンなどとは違った。彼らは、ユーザーが購入してからパスワードなどを設定し直していないIoT機器をネット上で探した。大抵の場合、購入時の機器はメーカーが設定したシンプルなユーザーIDとパスワードが使われており、ハッキングしやすい。そして世界中で検知した大量のデジタル機器を所有者に知られることなくハッキングで支配下に置き、DDos攻撃を実施するためのIoTの機器群（ボット・ネットと呼ぶ）を作っていたのである。

日本でも「亜種」が猛威

「Mirai」は、デバイスを探し始めてから20時間で、6万5000個のデジタル機器に感染した。その後76分ごとに倍々で感染は増えていったという。結局、ジハたちは遠隔操作できる30万個の機器からなる攻撃ネットワークを作っていた。つまりジハは、自分が合図を出せば最大で30万個のIoT機器が標的に向けて一斉にパケットを送りつけ、標的のサーバーをダウンさせるという攻撃手段を手に入れた。

例えば日本で人気の動画サービスが、この手のDDos攻撃に狙われたらどうなるのか。突然、動画サービスのサーバーに、世界中のIoT機器からデータが一斉に送りつけられる。イメージで言えば、普段なら1万人の視聴者を見込んでいるウェブサイトに、30万人以上から同時にアクセスが来るという感じだ。サイト側はパンクしてしまい、サーバーはダウンしてしまうだろう。

裁判資料によれば、この3人のそもそもの動機は、大規模なサイバー攻撃を引き起こすことではなかった。自分たちがハマっていたオンラインゲームを攻撃することが目的だったのだが、出来上がったボット・ネットがあまりにパワフルな攻撃ツールとなったために、さらに大それた攻撃を始めたという。