Webカメラの奥底に邪悪なものが潜んでいるということを、いったい誰が知っていたというのか……。これは2016年10月、DNSサービスを提供する米国Dyn社に対するDDoS攻撃が行われた後、セキュリティ関係者の多くが心に抱いた疑問である。多くの人々は自分の家で実際に相互に接続しているデバイスが幾つあるのか、ほとんど分かっていない。そのため、知らないうちに、事実上ネット接続が可能なコンピューターとも言える数多くのデバイスに囲まれることになっている。これらの機器の安全性を確認する必要があるということを、ほとんどの人は知りもしなかったのである。

自分のデバイスの安全性を保ち、感染するリスクを減らすために必要なことは何だろうか。例えば、ルーターの設定を厳格にすれば、デバイスが自宅にある間はそのデバイス全てを保護するのに役立つことになる。だが、そのデバイスが毎日の通勤で持ち歩くものであれば、たとえ、どのデバイスを保護する必要があるか正確に分からなくても、IoTデバイス自体のセキュリティを改善できるような対策が、理想的と言えるだろう。そうした、誰にでも簡単にできることを、以下で幾つか挙げてみよう。

１　デフォルトのユーザー名とパスワードを変えること

ルーターなどのIoTデバイスは、デフォルトの認証情報のまま出荷されていることがよくある。その情報は、検索エンジンで少し探すだけで簡単に見つけることができるだろう。ルーターの製造元が提供しているWebページやアプリを使ってみよう。ユーザー名とパスワードの両方とも他と重複することのない、強いものに変えてみよう。IoTデバイスもまたユーザー名かパスワード（あるいはその両方）を変えることができるようになっているかもしれない。もし可能なら、変えるべきである。

２　ユニバーサルプラグアンドプレイ(UPnP)（*）を無効にすること

もしも、特にUPnPを使う必要があると意識する機会がないのであれば、ルーターの設定上、このオプションは無効にしておくべきである。自分は使用している、と意識することがないのであれば、無効化したとしても違いに気付くことはないからである。むしろ逆に、このオプションを有効にしたままにしておくと、他人がネットワークに認証なしでアクセスするのを許すことになりかねないだろう。

* 編集部注 情報機器と家電とを特に設定をすることなくつなげる規格のことで、ネットワークの次元で可能とする。

３　リモートマネジメントのスイッチを切ること

リモートマネジメント(あるいは「Webアクセス」などと呼ばれているかもしれない）のスイッチを切ることで、ルーターへ物理的にアクセスした際には、設定の変更を要求されるようになるだろう。

４　自分のアクセスポイントの名前を変えること

利用しているルーターのタイプやそれが誰のアクセスポイントであるかが、明らかに分かってしまうようなものを避けて名前を選ぶこと。たとえそうしたところでセキュリティに大きな違いをもたらすものではないが、変えることはそう難しいことではないし、そうすることでシステムの攻撃側にとってみれば、わずかばかりであっても手間となる。

５　Wi-Fiの接続にはパスワードを要求すること

パスワードなしで他人にWi-Fiの接続を許可することは悪用を招きかねない。だから、強い暗号（WPA2が最善である）を採用してアクセスポイントの利用可能者数を制限するべきである。そして暗号も破られにくいものを選び、人目に付くようなところに放置しないこと。

６　自分のルーターとIoTデバイスのソフトウェアをアップデートしておくこと

ほとんどの人はルーターやIoTデバイスのセキュリティのアップデートの有無をどのようにチェックするのか、全く知らない。新たに利用可能となったセキュリティパッチの通知をすぐに受け取れるようにするか、または、毎月あるいは四半期ごとに、アップデートをチェックするよう自分を促すため、カレンダーに印を付けておこう。

７　調べてから買い物をすること

新しくルーターやデバイスを買う場合、少し丁寧に調査する。そうすることで、セキュリティの設定を自分で行うことを前提としているような製品を選んでしまうリスクを減らせるかもしれない（あるいは少なくともそれほど多くの問題を抱えてはいない製品で済むかもしれない）。

８　レビューを見ること

ルーターやIoT機器を買う前に評価レビューを見よう。使い勝手、特にセキュリティ機能に関わってくるところに注意しよう。機器のセキュリティを高めるためにルーターの設定項目を調整することは可能だが、もしもサードパーティーのルーターソフトウェアをインストールするようなことを望まないのなら、なるべく分かりやすい設定のソフトウェアを選ぶ方が望ましい。IoTデバイスは新しい機能や規格が導入されていることが多いので、代替のソフトウェアの利用は選択肢とはなり得ず、そのため、安全設定が簡単にできることが重要になるだろう。

９　既知の脆弱性をチェックすること

ソフトウェアの脆弱性の履歴を調べることができるWebサイト「CVE Details」でベンダーと当の製品を調べ、脆弱性が見つかっていないかどうかを確認しよう。もし、お目当ての製品に脆弱性が見つかっていれば、当該のCVE番号を探し出してパッチが利用可能かどうかを確かめることができる。当然のことながら、未解決でふさがれていないセキュリティホールがある製品は避けるのがベストである。

10　既知の問題をチェックすること

「商業改善協会」（Better Business Bureau）のサイトで他のユーザーが問題を報告していないか、その会社に対して政府が処分など何らかの対策を取っていないかを確認すること。検索エンジンで製品面やベンダー名と「リコール」という語を打ち込んでみて、現在公表されているリコールがないか調べること。

11　ベンダーのWebサイトを熟読すること

「ベンダーのWebサイトを訪れてプライバシーポリシーを探し出し、それが簡単に読めるか、明晰であるか確かめること。信頼に足るポリシーを公開しているか探してみること。こうしたポリシーはベンダーが自発的に行うところのものを指し示しており、彼らが見つけ出した問題に迅速にたどり着くことができる。

自宅のデバイスがこれまでDDoS攻撃の一部を担ったことがないとしても、今後も起こらないという保証はどこにもない。もし企業がセキュリティを強化してリコールされたデバイスを提供し始めれば、また、もし全てのユーザーが自宅のデバイスを強化し始めれば、ネット犯罪者が来るべき次回の攻撃で利用することのできるデバイスの数を大きく減らすことはできるのである。