IBMのセキュリティテストグループX-Force Redは、スマートシティのシステムに17件のゼロデイ脆弱性を発見した。
同グループは米国時間8月6日、ラスベガスで開催されたセキュリティカンファレンス「Black Hat」で、古くからある脅威が、未来の都市をリスクに晒す可能性があることを示した。
2018年のスマートシティ関連技術に対する支出は800億ドルに達し、2021年には最大で1350億ドル規模になると予想されている。よりエネルギー効率が高く、エコに優しい、管理しやすい都市生活の実現を目指すスマートシティでは、上水道システムやろ過浄水システム、スマート照明、交通の制御、電気やガスなどのシステムが複雑に絡み合う。
しかし、これらの重要な要素がすべて相互に接続されてしまうと、何か問題（例えばサイバー攻撃など）が生じたときに壊滅的な事態が起こりかねない。
X-Force Redは、Threatcareの研究者らと協力して、Libelium、Echelon、Battelleが開発したスマートシティシステムに脆弱性が存在することを突き止めた。
Libeliumは無線センサーネットワークのハードウェアメーカーであり、Echelonは産業用IoTを専門とする企業だ。また、非営利組織であるBattelleは、スマートシティ関連技術の開発と商用化を行っている。
X-Force Redの研究者Daniel Crowley氏によれば、4つのスマートシティで使用されているシステムに発見された17件の未知の脆弱性のうち、8件が深刻度が重大だと判断されたという。
残念ながら、不具合の多くは、デフォルトパスワードを使っていたり、認証のバイパスやSQLインジェクションが利用できるなどの、単純なセキュリティ対策の不備が原因だった。
調査チームは、さまざまなスマートシティシステムに存在する脆弱性を突き止めたほかに、リモートから誰でもアクセス可能な状態で、調査対象となった各社のデバイスが数十台存在することも発見した。事例によっては、そのようなデバイスが数百台にのぼるケースもあった。
同チームは、「誰でもアクセス可能なデバイスを発見した後は、標準的なインターネット検索を使用するだけで、デバイスの購入者や、そのデバイスが何に使用されているかといった情報が判明した場合もあった」と付け加えている。
明らかになった情報は、すでにLibelium、Echelon、Battelleに通知されている。IBMによれば、3社とも対応は速やかで、すでにこれらの脆弱性を解決するセキュリティパッチが公開されているという。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
