数ヶ月前、同僚のマルクス・ミュラーが、IPカメラが現代の戦争においていかに標準装備となっているかについて執筆しました。具体的には、攻撃前の偵察、リアルタイムの標的指定、そして攻撃後の爆撃被害評価のために悪用されているという内容でした。あの記事は戦場についてのものでしたが、今回の記事は、その戦場へと続く道についてです。
7月10日、オランダの情報機関（AIVDおよびMIVD）は、共同調査の結果を公表した。それによると、ロシアの工作員がインターネットに接続されたカメラを乗っ取っており、その中にはオランダ国内の軍事輸送ルート沿いに設置された少数のカメラも含まれていた。その目的は、イランの場合のようなミサイルの軌道修正ではなかったが、それでも戦争遂行を支援するための偵察であった。ロシアはこれらの映像を監視することで、何が、いつ移動し、どのような防衛装備がウクライナに向かっているかを把握することができた。
オランダの当局は、2つの点について率直に指摘した。第一に、これはオランダだけの問題ではないということだ。当局は、この手口がロシアによって、他のNATO加盟国やEU諸国、さらにはウクライナ国内でも組織的に用いられていると説明した。第二に、その手口は恥ずかしいほど単純だった。多くのカメラが依然としてデフォルトのパスワードや古いファームウェアを使用していたため、ハッキングされやすかったのだ。その3日後、オランダはこの件をめぐりロシア大使を呼び出した。
Nozomi Networks は過去 5 年間にわたり、これらのIoT 分解・解析してきましたが、その結果は一貫しています。複数のベンダーの製品において、不適切な認証や認証の迂回、コマンドインジェクション、およびハードコードされた認証情報や脆弱な認証情報が確認されています。
ビジネスパークや駐車場、そしてドアベルのIPカメラ映像を監視する
これってどこかで聞いたような話だと思いませんか？ そう感じるのも無理はありません。 2025年4月、20以上の国際機関が署名したサイバーセキュリティに関する共同勧告書によると、2022年2月以降、APT28またはFancy Bearとして知られるロシア軍第26165部隊が、ウクライナの国境検問所、鉄道駅、軍事施設付近のIPカメラをハッキングし、西側諸国からの支援物資を追跡していたことが明らかになった。マルクスが説明した戦場への標的攻撃と、オランダ当局が明らかにしたばかりの補給路の監視は、同じ作戦の二つの側面である。
変わったのはその野心だ。戦域近くの国境検問所を監視するのは一つのことだ。しかし、3カ国も離れた場所にあるビジネスパークの監視カメラや、さらにはドアベルカメラを監視し、NATOが物資の輸送に利用する道路を監視することは、後方支援体制に対する戦略的スパイ活動である。使用されている機器は、同じ安価なカメラだ。作戦の焦点は上流へと移った。計画、偵察、調整、そして大規模な実行のレベルは、桁違いに複雑になっている。
なぜIPカメラなのか？ 認証されていない、パッチが適用されていない、管理されていない。
ここには目新しいものは何もないが、それこそがポイントだ。IPカメラが諜報機関にとって魅力的である理由は、所有者を苛立たせる理由と同じである。
- それらは外部にさらされています。ShodanやCensysといった検索エンジンは、インターネットに接続されたデバイスを絶えずインデックス化しており、攻撃者は数分で、公開されている、あるいは認証不要のフィードを持つカメラを見つけ出すことができます。Censysだけでも、3月に行われた1回のスキャンで、パブリックインターネットからアクセス可能な認証不要のDahuaフィードを680件特定しました。
- これらはパッチが適用されていない状態です。前回の投稿では、CVE-2021-36260、つまり攻撃者にデバイスの完全なルート権限を付与してしまうHikvisionのコマンドインジェクションの脆弱性について指摘しました。この脆弱性に対するパッチは数年前から存在していました。しかし、誰がパッチを適用すべきか明確でなかったため、多くのデバイスではパッチが適用されなかったのです。
- それらは「見捨てられた」状態にある。2019年に倉庫の側面に設置されたカメラには、多くの場合、明確な所有者もおらず、保守契約もなく、ログを確認する人もいない。その曖昧さこそが脆弱性である。正面のドアのパスワードがまだ取扱説明書に印刷されたままなら、攻撃者はゼロデイ脆弱性を悪用する必要すらない。
Nozomi Networks 過去5年間にわたり、IoT 詳細に解析してきましたが、その結果は一貫しています。複数のベンダーにわたり、不適切な認証や認証バイパス、コマンドインジェクション、ハードコードされた認証情報や脆弱な認証情報が確認されており、ハンファビジョンの「Wisenet」シリーズにおいても5つの新たな脆弱性が発見されました。Nozomi 匿名化されたテレメトリを通じてNozomi 100万台以上のデバイスのうち、約8％がIPカメラです。これらは至る所に設置されていますが、その大半は駐車場を監視するために設置されたものであり、国家レベルの攻撃に耐えることを想定して設置されたものではありません。
偵察からペイロードまで：一つの長い作戦
ハッキングされたカメラなど大した問題ではないと思われるかもしれませんが、悪意のある攻撃者が監視から兵器化へと手を広げた場合に何が起きるかを考えてみてください。7月13日、英国とEUは、2025年12月にポーランドの電力網に対して行われた攻撃について、ロシア連邦保安庁（FSB）の第16センターの仕業であると正式に断定しました。 捜査当局によると、攻撃者は破壊的なワイパー型マルウェアを展開しようとしており、もし成功していれば、真冬に約50万人の電力供給が遮断されていた可能性があるという。攻撃は失敗に終わったが、これを受けて英国とEUは初の共同サイバー制裁措置を講じた。
ポーランドの電力網に対する攻撃は、一見無関係に見えるかもしれませんし、間違いなく「センター16」もそう思わせようとしているでしょう。しかし、「センター16」の標的リストを見れば、それはまるでNATOの補給ルートの地図のようです。フランス、ドイツ、ポーランド、キプロス、オランダ、オーストリア、スロバキア、ルーマニア、フィンランド。 受動的なカメラによる監視と、電力網を破壊しようとする試みは、別々の出来事ではない。これらは、一つの長期にわたる作戦における偵察と攻撃手段であり、安価なIoT その多くの始まりとなっているのだ。
基本的なサイバー衛生管理でIPカメラのセキュリティを確保しましょう
ここが、実際に実行さえすれば安心できる点です。こうした攻撃の侵入経路のほとんどは、結局のところ「魔法」ではなく「衛生管理」に帰着します。これに対抗するには、より優れたアルゴリズムでは不十分です。地味な作業をきちんとこなすことで初めて、防御できるのです。
直ちにとるべき措置
- まずは、手元にあるものを把握することから始めましょう。ネットワーク上に存在することや、インターネットに接続されていることを知らなければ、そのカメラを保護することはできません。外部IPアドレス空間と内部IoT 評価し、デバイスの正確なインベントリを作成するとともに、それらがどのように、どこで通信しているかを把握してください。
- インターネットに直接接続されているデバイスをインターネットから切り離し、リモートアクセスはVPNまたはゼロトラストゲートウェイを経由するように設定してください。
- 認証情報をすべて変更してください。デフォルトのパスワードは、侵入される最も確実な手段だからです。
中期的な取り組み
- 現在所有していることが判明したデバイスについては、ファームウェアの更新を優先してください。
- カメラネットワークをOT 業務システムから分離し、映像配信が侵害されても、それが攻撃の足掛かりとならないようにしてください。
- 不審な兆候に注意してください。ログインの失敗が繰り返される、普段とは異なる場所からのログイン、そしてこれまで一度もなかったようなカメラからの突然の外部への接続などです。
これらはどれも目新しいアドバイスではありません。だからこそ効果があり、それゆえにいつも見過ごされ続けてしまうのです。
あなたのカメラは何を捉えているのか、そして誰がそれに興味を持つだろうか？
輸送回廊沿いで事業を展開している場合、鉄道や物流施設を運営している場合、あるいは単に多数のカメラを所有している場合は、自分のカメラが、あなたとは全く関係がなく、ただそこを通過する物事にのみ関心を持つ誰かの標的になる可能性があることを念頭に置いておくべきです。これは警戒すべき理由ではありません。むしろ、他人がそれを悪用する前に、侵入されやすい経路を塞いでおくべき理由なのです。
Nozomi Networks 、重要インフラの運営事業者が自社のネットワーク上のすべてのIoT 可視化し、セキュリティ上の脆弱性が露呈しているデバイスやパッチが適用されていないデバイスを特定し、こうした攻撃キャンペーンが依存する「目立たないアクセス」を正確に監視できるようNetworks 。自社のカメラが何を映し出しているのか、あるいは他に誰がその映像を閲覧できるのかが不明確な場合は、ぜひご相談ください。お問い合わせください。
