Wi-Fiの企業利用に潜む危険

日本はWi-Fi環境の整備が進んでおり、さまざまな場所でインターネットに接続できるようになりました。Wi-Fiルーターも安価で入手できるようになり、企業でも家庭でも容易にWi-Fiルーターで通信を無線化できるようになっています。しかし、Wi-Fiルーターを狙う攻撃も増加しており、一歩間違うと自分が加害者になってしまう可能性もあります。ここではWi-Fiルーターのメリットと危険性、対策についてまとめます。

【目次】
企業が業務でWi-Fiを活用する観点で展開します
・企業がWi-Fiを導入するメリット
・Wi-Fiルーターを悪用されるケースも
・Wi-Fiの導入で注意すること

企業がWi-Fiを導入するメリット

スマートフォンやタブレットといったスマートデバイスの普及によって、Wi-Fiが一般的になりました。「Wi-Fi」はそもそも、無線通信の業界団体によって策定された、IEEE802.11シリーズとの接続・通信品質を保証するブランド名でしたが、現在では無線LANとほぼ同じ意味で使われています。Wi-Fiに接続できる機器も、PCやスマートデバイスはもちろん、ゲーム機器やデジタルカメラ、監視カメラなど多岐にわたっています。

Wi-Fiに接続するめのアクセスポイントは、通信キャリアが全国的に設置しているほか、空港や駅、喫茶店、公園、電車やバスなど、さまざまな場所で提供されており、いつでもどこでもインターネットに接続できるようになっています。またWi-Fiは、インターネット回線があれば安価なWi-Fiルーターを設置することで容易に拡張できるので、店舗や個人が無料で提供するケースも増えています。

同様に、企業においてもWi-Fiを導入するケースが増えています。最近はノートPCだけでなくデスクトップPCでもWi-Fi機能を内蔵した製品が一般的になったため、オフィスにWi-Fiルーターを設置することで、通信ケーブルを配線することなくインターネットや社内ネットワークに接続することができます。

席を自由に移動して業務ができるフリーアドレスオフィスの展開も容易ですし、新たに開設するオフィスではWi-Fiを用意することで敷設する配線を大幅に減らせます。また、関連会社に同じWi-Fiネットワークを提供したり、自社の店舗やオフィスロビーなどにWi-Fiルーターを設置したり、来客に対してインターネット接続環境を提供するケースも増えています。社内の環境整備から関連会社との連携、業務の効率化に加え、自社のイメージアップにも活用されているわけです。
 

図：Wi-Fiのメリット

 

Wi-Fiルーターを悪用されるケースも

Wi-Fiは便利な一方で、サイバー犯罪者の標的にもなっています。Wi-Fiサービスには、以前から暗号化強度の弱さが原因で利用者の通信が盗聴され、個人情報や利用者が使うサービスへのログイン情報を盗まれるといった危険性が指摘されていますが、最近ではWi-Fiルーターを攻撃の踏み台に利用されるケースが増えています。

たとえば、外部からWi-Fiルーターに不正アクセスしてマルウェアに感染させ、DDoS攻撃に利用するケースがあります。DDoS攻撃は「分散型サービス不能攻撃」と呼ばれるもので、標的となるWebサイトに複数の機器から大量のリクエストを送りつけます。DDoS攻撃を受けたWebサイト（Webサーバー）はリクエストへの処理が間に合わなくなり、事実上動作を停止してしまいます。

DDoS攻撃はこれまで、PCをウイルス感染によりボット化（攻撃者が感染したPCを遠隔操作できる状態）させ、ボット化した大量のPCで「ボットネットワーク」を作ることで行われていました。それが最近では、ルーターやインターネット家電などを悪用するケースが増えています。ルーターに対しては、脆弱性のあるルーターにインターネットから不正アクセスし、DDoS攻撃に悪用します。

ルーターは、管理機能にアクセスするためのIDとパスワードが設定されていますが、初期設定のまま使用されていたり、推測可能なものが設定されていたりします。攻撃者は、初期設定やよく使用されるIDとパスワードの組み合わせを試して管理機能にアクセスしようとします。ログインに成功すると、ボットを仕掛けたり設定の変更を行ったりします。

これにより、ネットワーク内から外部へ向かう通信の通信先を変更することなどを可能にしてフィッシングサイトやマルウェアを仕込んだサイトに誘導します。また、ルーターにボットを感染させることで、DDoS攻撃を行えるようにします。最近のDDoS攻撃では、DNSやNTPといった小さいパケットを送ることで、より大きなパケットを返させる「リフレクションDDoS攻撃」も増加しています。

こうしたケースでは、企業はルーターを乗っ取られた被害者ではありますが、乗っ取られたルーターがDDoS攻撃に参加するため、DDoS攻撃を受けた側にとって企業は攻撃に加担した加害者になってしまいます。
 

図：Wi-Fiルーターの悪用

 

Wi-Fiの導入で注意すること

業務効率の向上に有効なWi-Fiですが、多くの脅威にさらされていることも事実です。そのため、企業が導入する場合には、しっかり管理することが重要になります。まずは導入台数の把握です。最近のWi-Fiルーターは非常に安価で数千円で購入できるものもあります。部署単位で購入して使用するケースもありますので、社内で管理する部署を決め、導入台数や設置場所を把握しましょう。大規模な無線LAN設置の場合は、きちんとした設計やその前の調査等が必要になるので、技術力のあるベンダーに依頼するのが良いでしょう。

また、Wi-Fiルーターの設定も把握する必要があります。管理機能にアクセスするためのパスワードは初期状態のまま使わず、必ず変更しましょう。また、安易なパスワードを設定することも禁物です。キーボードのキーの並び順を使った「qwerty」など、覚えやすいパスワードは、すでに攻撃者に知られています。英数字や記号、大文字と小文字などを組み合わせ、なるべく複雑で推測されないものにします。

さらに、脆弱性を解消するために、ルーターのファームウェアにアップデートがないかを定期的に確認し、アップデートが公開されていたら迅速にアップデートしましょう。ルーターによっては自動更新機能を搭載するものもありますので、これを活用することも有効な対策になります。

Wi-Fiルーターを使用する際の通信の暗号化も必須の要件ですが、暗号化方式にも種類があります。現在では「WPA2」という方式が最も安全とされています。

ゲスト用のアカウントを設定している場合は、管理機能にアクセスできないよう設定します。また、不正サイトへの接続遮断機能や、不正プログラムなどの検出機能、ネットワークからの攻撃の検知、遮断機能といったセキュリティ機能を搭載するWi-Fiルーターを選ぶことも効果的です。

Wi-Fiルーターは手軽さや便利さだけにとらわれず、Wi-Fiルーターへの脅威も理解し、安全な運用を心がけることが大事です。それにより、自社への被害を防ぐことはもちろん、加害者になってしまうことも防ぐことができるのです。

図：Wi-Fiルーターのセキュリティ対策（総務省の資料より）

 

【参考】
“Dos/DDoS 対策について” 警察庁
http://grouper.ieee.org/groups/2600/presentations/Maui2007/DDoS_Inspection.pdf

“「Mirai」による DDoS事例から IoT の「エコシステム」を考察する” トレンドマイクロセキュリティブログ
http://blog.trendmicro.co.jp/archives/13956

“「無線ＬＡＮビジネス研究会」” 総務省
http://www.soumu.go.jp/main_content/000167523.pdf

“『IoT時代を見据えたWi-Fiセキュリティガイド』を公開” トレンドマイクロプレスリリース
http://www.trendmicro.co.jp/jp/about-us/press-releases/articles/20161212042727.html