製造業のセキュリティ：なぜデフォルトパスワードは廃止すべきか

もしあなたがイランのハッカーによる米国の水道施設への侵入について聞いていないなら、それは彼らが7,000人にサービスを提供する単一の圧力ステーションを制御することにしか成功しなかったからです。この攻撃が注目されたのは規模ではなく、ハッカーがアクセスを得た方法の容易さでした。彼らは単にメーカーのデフォルトパスワード「1111」を使っただけだったのです。この危機一髪の出来事を受けて、CISAはメーカーに対し、デフォルト認証情報を完全に廃止するよう促しました。「長年の証拠」により、これらのプリセットパスワードが最も悪用されている弱点の一つであることが示されています。

メーカーがより良いセキュリティ対策を実施するのを待つ間、その責任はITチームに委ねられます。重要インフラを管理している場合でも、通常のビジネスネットワークを管理している場合でも、メーカーのパスワードが変更されていないままの環境は、攻撃者にレッドカーペットを敷いているようなものです。ここでは、デフォルトパスワードについて知っておくべきこと—なぜ残り続けるのか、ビジネス上および技術的な影響、そしてメーカーがどのようにセキュア・バイ・デザインのベストプラクティスを実装できるかについて解説します。

デフォルトパスワードがもたらす広範な脅威#

デフォルトパスワード—「admin/admin」や「1234」など、無数のデバイスやソフトウェアシステムに出荷時に設定されている標準的な認証情報—は、攻撃者が好んで悪用する明白なセキュリティギャップです。そのリスクは十分に知られているにもかかわらず、以下のような理由で本番環境に残り続けています：

• 初期セットアップや構成を簡素化できる
• 大量のデバイス導入を効率化できる
• セキュリティオプションが限られたレガシーシステムをサポートするため
• メーカーにセキュア・バイ・デザインの意識が欠如している

デフォルトパスワードを使用することによる影響は以下の通りです：

• ボットネットへの勧誘：攻撃者は脆弱なデバイスをスキャンし、他のデバイスを侵害する大規模ネットワークを構築する
• ランサムウェアの侵入口：ハッカーはデフォルトパスワードでアクセスし、ランサムウェアを展開する足がかりを築く
• サプライチェーンの侵害：1台の脆弱なデバイスが、ネットワーク全体やパートナーシステムへのアクセスを提供する
• セキュリティ対策の完全な無効化：デフォルト認証情報が有効なままだと、堅牢なセキュリティ対策も無意味になる

デフォルトパスワード攻撃の実際の影響#

デフォルトパスワードは、近年最も破壊的なサイバー攻撃のいくつかを可能にしてきました。たとえば、攻撃者はMiraiボットネットを、数千台のIoTデバイスに工場出荷時のパスワードを試すことで作り上げました。61種類の一般的なユーザー名／パスワードの組み合わせリストを使い、ハッカーは60万台以上の接続デバイスを侵害しました。その結果生まれたボットネットは、史上例のない1Tbps規模のDDoS攻撃を仕掛け、TwitterやNetflixなどのインターネットサービスを一時的に停止させ、数百万ドルの損害をもたらしました。

サプライチェーンもまたデフォルトパスワード攻撃の標的となっており、ハッカーはデフォルト認証情報が変更されていないOEMデバイスを多段階攻撃の足がかりにしています。一度侵入すると、バックドアを設置してアクセスを維持し、徐々に接続されたシステムを横断して最終的には貴重なデータや重要インフラに到達します。これらのデフォルトパスワードは、他のすべてのセキュリティ対策を事実上無効化し、攻撃者に正当なアクセスを与えて高度な脅威検知システムさえも回避します。イギリスでは最近、デフォルトパスワード付きで出荷されるIoTデバイスを禁止する措置が取られました。

デフォルトパスワード放置の高い代償#

デフォルトパスワードを変更しないことは、初期のセキュリティ侵害をはるかに超える影響をもたらす可能性があります。例えば：

• ブランドイメージの損失：公になった情報漏洩は顧客の信頼を損ない、高額なリコール、危機管理キャンペーン、訴訟を引き起こし、何年も続くことがあり、費用は容易に数百万ドルに達します。
• 規制違反による罰則：EUのサイバー・レジリエンス法や米国各州のIoTセキュリティ法（カリフォルニア州など）は、デフォルトパスワードの脆弱性を明確に標的とし、違反には多額の罰金を科しています。
• 運用上の負担：適切なパスワードポリシーを最初から導入する方が、緊急対応やフォレンジック分析、復旧作業よりもはるかに効率的かつコスト効果が高いです。
• エコシステム全体の脆弱化：1台の侵害されたデバイスが、スマート工場の生産停止、医療現場での患者ケアの危機、パートナーネットワーク全体への連鎖的な障害など、相互接続された環境全体を危険にさらします。

メーカー向けセキュア・バイ・デザインの5つのベストプラクティス#

メーカーは、セキュリティの負担を顧客に押し付けるのではなく、製品設計の段階からセキュリティを組み込む必要があります：

• ユニットごとの固有認証情報：工場でランダム化されたパスワードを埋め込み、各デバイスのラベルに印刷して、製品ライン全体で共有されるデフォルト認証情報を排除する。
• パスワードローテーションAPI：顧客が初回起動時に認証情報を自動的に変更・無効化できるようにし、認証情報の変更を標準セットアッププロセスの一部にする。
• ゼロトラスト・オンボーディング：システムアクセスを許可する前に、ユーザーアカウントに紐づけたQRコードスキャンなどのバンド外認証を要求し、正当なデバイス設定を確認する。
• ファームウェアの整合性チェック：ログインモジュールに署名し、認証情報の不正リセットによるセキュリティ回避を防止する。
• 開発者トレーニングと監査：セキュア開発ライフサイクルを徹底し、出荷前にデフォルトパスワードのスキャンを実施して、顧客に届く前に脆弱性を発見する。

今すぐ組織を守るために#

メーカーがセキュア・バイ・デザインの原則を完全に採用するまで、IT担当者はデフォルトパスワードのリスクに直ちに対処しなければなりません。そのための最良の方法の一つは、定期的なデバイス棚卸しと導入時の即時認証情報変更を含む厳格なパスワードポリシーを実施することです。

最大限の保護を得るためには、Specops Password Policyのようなソリューションを導入して自動的に運用することを検討してください。Specops Password PolicyはActive Directoryのパスワード管理を簡素化し、コンプライアンスを確保しながら、40億件以上の漏洩パスワードをブロックするセキュリティ基準を実装できます。これらの積極的な対策を講じることで、攻撃対象領域を縮小し、組織が次のデフォルトパスワードによるハッキング被害の見出しになるのを防ぐことができます。Specops Password Policyのライブデモを今すぐ予約しましょう。