生きることは忘れること

NICTがIoT機器に「無差別侵入」してパスワード設定の不備の調査を行う件

NHKが「総務省 IoT機器に無差別侵入し調査へ 前例ない調査に懸念も」と報じ、話題になっている(Twitterのトレンドに載ったようだ)。

総務省 IoT機器に無差別侵入し調査へ 前例ない調査に懸念も | NHKニュース

想定されているのは、パスワードの設定に不備があるルーターやウェブカメラを乗っ取って外部への攻撃に利用するといういわゆる踏み台型攻撃と思われる。

通常、サイバー攻撃とか不正アクセスというと、たとえばGoogleとかTwitterとかAmazonとかのデータを持っている企業が攻撃を受ける、とか、パスワードを盗まれて不正にログインされる、とか、パソコンやスマートフォンにウイルスが、とかがまず想像されよう。しかし、今回対象とされているのはその手のものではなく、家庭にあるルーターやウェブカメラ、あるいは家電などの機器である。

こうしたルーターやウェブカメラなどの機器の多くは、ネットワークを経由して管理画面を提供している(もっとも、管理機能を使ったことがなく管理画面を目にしたこともない、という利用者も多いだろう)。こうした機器が不適切な設定のまま(たとえば、管理画面のパスワードが初期設定のまま、というケースが考えられる)インターネットに接続されていると、悪意のある攻撃者に不正に管理機能にログインされ悪用されるおそれがある。(最近では、個体ごとに初期パスワードが異なっていてわざわざパスワードを変える必要がない、という機器が多くなっているが、)同じ型の機器で初期パスワードが全て同じというケースが(特に古い機器で)結構あるようで、使いもしない管理画面のパスワードを変える人はあまり多くなかろうから、簡単に乗っ取られ得るような機器がそこらじゅうにあるだろうと考えられている。初期パスワード以外にも、"password"とか"123456"のような単純なパスワードを設定していても、問題となる。(あるいは、機器がウイルス(マルウェア)に感染した場合にも問題となる)

具体的な悪用の内容としては、機器の管理機能を利用できるわけなので、たとえばウェブカメラの場合はカメラの映像を取得され悪用される、悪意ある者に機器を操作され物理的な危険を招く(自動車のような例を考えるとわかりやすい)、というようなものがまずは考えられるのであるが、今回特に問題となっているのは、機器を乗っ取られ、DDoS攻撃(アクセス飽和攻撃)などの他のサイバー攻撃の踏み台として利用される、というケースである。2016年10月に、Miraiと呼ばれるマルウェアによってこのタイプの大規模なDDoS攻撃が行われており1、典型例として言及されているようである。また、特にオリンピック・パラリンピックに関係して攻撃が行われるケースがたびたびあり、2020年東京大会を前にして対策が検討されたという面もあるようである。

実際に「調査」を行うことになるのは、総務省所管の独立行政法人である国立研究開発法人情報通信研究機構(NICT)である。「調査」の流れとしては、次のようになる：

  1. NICTが、インターネットに接続されているルーターやウェブカメラに(「無差別に」)アクセスし、初期パスワードや単純なパスワード(以下「弱いパスワード」という)として知られているパスワードによってログインを試みる。ログインできるならば、それはパスワードの設定に「不備がある」ということになる。
  2. NICTが「不備のある」機器の情報を電気通信事業者(インターネットプロバイダ)に提供する。この調査で得られる情報はふつうIPアドレスなので、提供される情報はIPアドレスということになる。
  3. インターネットプロバイダはどのIPアドレスがどの利用者に割り当てられているかを知っているので、それをもとに「不備のある」機器の利用者に注意喚起する。

これは、他人の機器にログインすることを試みるわけで、いくらログイン後に悪いことをしないからといっても、不正アクセスそのものであり、問題を孕んでいえるといえる(NHKの記事でも言及されている)。通常であれば不正アクセス禁止法で禁止・違法とされる行為であるが、今回のNICTの「調査」は、不正アクセス禁止法の対象から除外されており、一応合法という形になっている。

なお、今回のNICTの調査は、あくまでもログイン試行を行うものであって、NICTが脆弱性を利用したりするようなものではない。

さて、それでは、以下もうすこしくわしく検討したい。とりあえずのところ、体系的に整理するというよりは、論点を挙げて確認していく形で記す。

根拠法令

今回の「調査」の根拠となる条文は、具体的には国立研究開発法人情報通信機構法(平成11年法律第162号)である(附則第8条第2項から第4項まで・同第6項から第8項まで・附則第9条から第11条まで)。電気通信事業法及び国立研究開発法人情報通信機構法の一部を改正する法律(平成30年法律第24号)による改正で追加されたものである。なお、改正法の成立は2018年5月16日、公布は2018年5月23日、施行は2018年11月1日であった。

この改正法は大きく分けて4つの内容を含んでいる：

本件に関係するのは4番目である。

以下、細かいが注目したい点を挙げる：

法制定後の動き

国会審議

本件に関する法案の国会における審議について見る。問題の法律は第196回国会内閣提出第33号であった。

まず目に付くのは、採決において日本共産党が反対していることである。これは、主にNTT固定電話のIP網移行にあたっての利用者保護が不十分であることを理由にしているものではあるが、委員会討論においては本件調査業務についても言及しており、NICTや第三者機関が本来知り得ない情報を取り扱うことにつき通信の秘密の遵守と個人情報の保護の徹底を求める旨述べている。

さて、委員会質疑を見てみると、改正法の内容が多岐にわたっていることもあり本件調査業務に関するものは割合としては少ないのであるが、議論をざっと拾ってみると、次のようになる：

なお、有益な資料として、参議院調査室の発行する『立法と調査』に掲載された記事「IoT機器等へのサイバー攻撃の急増と固定電話網のIP網への移行等に対する取組」は、本法案の提出経緯・概要・国会における論議がよくまとまっている。

法案提出の経緯(有識者会議等)

本件改正法案の提出は、2017年10月から2018年2月にかけて総務省2の開催した「円滑なインターネット利用環境の確保に関する検討会」(いわゆる有識者会議)における議論と報告書(取りまとめ)を踏まえてなされている(とされる)。

この有識者会議に関する情報は総務省ホームページで公開されている。公開されている情報の内容は、3回の開催の配付資料・議事要旨で、議事録は公開されていない(これについては、パブリックコメントで寄せられた意見に対する考え方として、「本検討会においては、具体的なサイバー攻撃の手法や各事業者における対策手法等を公開することによりサイバー攻撃が誘発されることを防止する等の観点から、一部資料及びWGの会議自体は非公開としていますが、事後的に公開が可能と判断できた資料や議事概要についてはいずれも公表しており、今後も公開が可能な情報については提供を行っていきます。」と説明されている)。

検討会の開催日程は、第1回が2017年10月26日、4回の非公開のWG(ワーキンググループ)を経て、第2回が2017年12月22日、パブリックコメントを経て、第3回が2018年2月9日、となっており、その後、2018年2月20日に報告書が公表された。

さて、有識者会議の報告書「円滑なインターネット利用環境の確保に関する検討会 対応の方向性」を具体的に見ると、本件改正法に含まれる内容のうち、インターネットプロバイダ間の情報共有や第三者機関の設置等については言及があるものの、脆弱なIoT機器への対策については、総論的・一般論的に検討の必要性が述べられているにすぎず、NICTによる調査といった内容はまったく含まれていない。

一方、総務省における法案提出の過程を見ると、2018年1月19日に発表された「第196回国会(常会)総務省提出予定法律案等」では、「電気通信事業法及び国立研究開発法人情報通信研究機構法の一部を改正する法律案」が含まれている。本件法案のうち国立研究開発法人情報通信研究機構法の改正に係る内容は本件調査業務に関係する内容のみであるから、この時点で本件調査業務を法制化する方向で準備がなされていたことが伺える。実際、そのような旨の報道も確認できる(IoT狙ったサイバー攻撃対策強化に2法案を提出へ 総務省(産経ニュース、2018年1月19日)等)ほか、国会議員のウェブサイト等に掲載されている政府の資料からも読み取ることができる3。実際に国会に法案が提出されたのは2018年3月6日である。

なお、サイバーセキュリティという観点では、2017年1月以降現在まで、総務省の「サイバーセキュリティタスクフォース」が継続的に開催されている。2017年10月には、タスクフォースによって取りまとめられた「IoTセキュリティ総合対策」が公表されており、IoTのセキュリティについて、製造段階から利用段階まで包括的な対策を提示している。本件改正法も、この「総合対策」を踏まえて立法されたもの(のよう)である。もっとも、「総合対策」においても、IoT機器の脆弱性調査について言及されているものの、いわゆるセキュリティホールに類するものの調査や、実際の機器状況の調査についてはポートスキャンに類するものが言及されているにすぎず、本件調査業務のような形での調査は言及されていない。

私見

正直なところ第一印象としては「えぇ…」だったわけなのですが。

まあ、本来違法の行為でも国家が行う場合は合法というのは、それだけで直ちに悪かというとたぶんそうともいえなくて、それを言ったらそもそも国家とは暴力を独占する主体みたいな話にもなるわけですけど。

とりあえずまずこういう場合には憲法適合性(違憲性)を考えることになろうかと。今回の場合、まず考えられるのは通信の秘密になるのだけど、ただ、通信の秘密といったらまずは通信経路上における通信業務従事者(インターネットの場合はとくに電気通信事業者)に対してということになるわけで(法律による具体化としてたとえば電気通信事業法第4条)、この意味で言えば、今回NICTは直接に何らかの通信を媒介しているわけではないので、通信の秘密の問題とは考えにくい。(これは、国会審議において野田総務大臣が答弁で述べたところでもある) まあ、機器の管理画面にアクセスする以上、そこで当該機器の持っている通信のログを偶然取得してしまうみたいなことが原理的にはあり得なくはないのだが、NICTが通信媒介者でないのは一緒なので、ちょっと(狭義の)通信の秘密というのは無理があると思う。

いっぽうで、たとえば通信ログとか、ウェブカメラであればカメラの映像とかを取得しうるということになると、(実際の運用ではおそらくそういう情報は取得しても直ちに破棄することになるんだろうとは思うけど、)プライバシー権との関係が問題になるのではないかなあとは思う。プライバシー権は、(いろいろ議論はあるけれど、)現在においては、「私生活をみだりに公開されない権利」とか「自己情報コントロール権」として憲法上保護されるべきものとしてとらえられている4。こういう点からすると、問題がないとはいえないのは、まあ確かなんじゃないかなあとも、思う。もちろんだからといって直ちにダメというわけではなく他の権利との比較衡量とか色々考えることがあるという話だけど。

個人情報保護の観点についてみると、個人情報保護法(個人情報の保護に関する法律。ただし、NICTに適用されるのは独立行政法人等の保有する個人情報の保護に関する法律になる)上は、IPアドレスは一般にはそれだけでは個人を特定できる情報ではないので個人情報にあたらないと考えられていて、直ちに違法とはいえない。また、通信ログとかウェブカメラの映像とかから個人が特定できるような場合があるかもしれないが、実際の運用ではそういう情報はおそらく個人情報として検索できるかたちで記録されることはないので、個人情報保護法制上問題になるものではなさそうというところである。ただ、インターネットプロバイダにとってはIPアドレスは個人を特定できる情報になるので、それを取得するのは個人情報保護法の規制の対象になるのでは？という気もする。知らんけど。まあなんか個人情報保護法制まわりもいろいろごたごたしているというのがなんとなくの印象なんで微妙なんですが、少なくとも現行法上はこんなところだと思う…。

あとはまあ、当然不備のある機器のリストが漏れたりしたらやばいのは当然で情報管理ちゃんとやらないといけないね、というのは、それはそう。

というのと、実効性の問題がある。なんか派手に調査するのだけれど、それで結局最後は注意喚起で終わってしまう、というあたりで、どうなのかなあと思ったりもする。

というかそもそも、わざわざ不正アクセス禁止法の適用除外までして政府機関がこんなことしなくても、普通にインターネットプロバイダーが(必要なら利用者同意を得て)自分の顧客の分の調査をするというのでごく穏当に同様のことができると思うのですが。NICTが技術提供すればいいんだし。そのあたりどうもやっぱり気持ち悪いというかなんというか。

参考までの情報として、総務省は、2017年9月から2018年3月にかけて、ポートスキャン5による調査を行っていて、おそらく、今回のNICTの調査対象になる何らかのパスワードを入力する余地のある機器がどれくらいあるかいたいなことについてある程度の目算をつけているんじゃないかと思う。

というのがひととおりの検討になるのだけど、それはそれとして何となく思っているのが、インターネットってもともと自律分散システムとして発展してきた(ほんまか？)わけで、それを強く意識していると、政府によるコントロールみたいなものに関してなんとなく否定的な印象が先行してしまうのかもな、ということだったりする。知らんけど。

資料・参考文献

  1. 1. 史上最悪規模のDDoS攻撃 「Mirai」まん延、なぜ?(ITmedia NEWS、2018年2月21日)
  2. 2. 担当は総合通信基盤局電気通信事業部消費者行政第二課及び電気通信技術システム課
  3. 3. 第196回国会(常会)「内閣提出予定法律案等件名・要旨調および概要」(参議院議員 石上としお 公式サイト、2018年1月19日)・板倉陽一郎「サイバーセキュリティ情報の共有に関する二法案(サイバーセキュリティ基本法の一部を改正する法律案及び電気通信事業法及び国立研究開発法人情報通信研究機構法の一部を改正する法律案)の概要」(ひかり総合法律事務所、2018年2月。2018年3月9日追記あり)
  4. 4. 参考として、たとえば、内容の古さも目立つものの、知る権利・情報アクセス権とプライバシー権に関する基礎的資料(衆憲資第28号)
  5. 5. インターネット上の機器が接続を受け付けるかどうかを調べるもの。クラッキングの前段階として行われることもあるが、違法とまでいえるものではないと思われる。不正アクセス禁止法にも抵触しない。