見出し画像

35秒ごとに中国と話すルーター 10万台に仕込まれた「無限の扉」と、ハードウェアを信じることの終わり

宮野宏樹

自宅やオフィスの隅で、小さな緑のランプを点滅させながら黙って動いている箱があります。無線ルーターです。多くの人にとって、それは家電と同じ「買って設置したら忘れるもの」でしょう。ところが2026年8月5日、米国のセキュリティー企業が公表した調査結果は、その箱が電源を入れた瞬間から35秒ごとに中国のサーバーへ自ら話しかけ続けている可能性を突きつけました。しかも、その通信には認証も暗号化もなく、返ってきた命令は最高権限でそのまま実行されるといいます。対象は世界で推定10万台。今回は、この「エンドレスドアーズ」と名付けられた事案が、単なる1製品の不祥事ではなく、私たちがハードウェアという存在をどう信じるかという前提そのものを揺さぶっている理由を、できるだけ丁寧にたどります。


1. 35秒という数字が意味すること

まず、報じられた事実を整理します。

米マサチューセッツ州に本拠を置くサイバーセキュリティー企業バルンチェック（VulnCheck）が2026年8月5日、中国の通信機器メーカーである深圳智博通電子（Zbtlink）が製造する無線ルーターの制御ソフトに、外部から遠隔操作を可能にする機能が組み込まれているとする調査結果を公表しました。同社はこの仕組みを「ENDLESSDOORS（エンドレスドアーズ、無限の扉）」と命名しています。

調査を担当した同社の最高技術責任者ジェイコブ・ベインズ氏は、日本経済新聞に対し「世界中で少なくとも10万台のルーターが設置されている」と推定したうえで、「このようなアクセスを許していることに気付く人はほとんどいないだろう」とコメントしました。

技術的な骨格は次のとおりです。ルーターの起動時に、この機能は自動で動き出します。そして約35秒ごとに、特定のIPアドレスや中国国内のドメインに向けて通信を試みます。通信相手を認証する仕組みはありません。サーバー側から送られてきた命令は、管理者権限、つまりLinux系機器でいうuid=0、いわゆるroot権限でそのまま実行されます。

この「35秒」という数字を、少し噛みしめてみてください。1時間で約103回、1日で約2,470回、1年で約90万回です。ルーターが電源につながっている限り、機器は延々と外部へ「準備はできています」と手を挙げ続けていることになります。人間が寝ている間も、会社が休みの日も、その回数は減りません。

そして重要なのは、この通信が「外から攻撃者が扉をノックしに来る」形ではなく、「中から機器が扉を開けに出ていく」形だという点です。一般的なファイアウォールは、外から内への通信を止めることを主な仕事にしています。内から外へ出ていく平文の通信は、よほど厳密な設定をしていない限り素通りします。つまり、この設計は家庭でも中小企業でも、一般的な防御をほぼ迂回できてしまう構造なのです。

2. 「エンドレスドアーズ」の技術的な中身

バルンチェックの公開資料や、それを受けた海外のセキュリティー専門メディアの報道をあわせると、より具体的な像が見えてきます。

起動時、機器はカーネルの内部処理を担う正規のプロセス名である「kworker」を装った形でモジュールを読み込みます。自動起動の仕組みも用意されており、機器の初期化スクリプト群のなかに専用の起動スクリプトが置かれています。名前もまた、正規のプロセス名に酷似したものが使われています。

ここが巧妙な点です。仮に技術に明るい利用者が機器の内部にログインし、動いているプロセスの一覧を眺めたとしても、そこに並ぶのはOSが日常的に走らせている名前とほとんど区別のつかない文字列です。異常を検知するための「見た目の手がかり」が、意図的に消されているように見えます。

通信の作りも特徴的です。この機能は、外部からの接続を待ち受けるポートを開きません。ポートスキャンをかけても、怪しい待受口は見つからないということです。代わりに、機器のほうから外向きに平文のTCP接続を張ります。接続先として報告されているのは、中国系のドメインやIPアドレスを含む複数の宛先です。

そして命令の実行部分です。受信した文字列は、権限を落とすことなくそのままシェル実行の関数に渡されます。特定のコマンドを送れば、root権限の対話シェルそのものを外部へ差し出すこともできるとされています。これは、機器の中で管理者が手打ちできることは、遠隔からでも何でもできる、という意味です。設定の変更、通信内容の傍受、別のプログラムの導入、同じネットワークにつながっている他の端末への侵入、いずれも技術的には成立します。

さらに見過ごせないのは、この仕組みのリスクが「宛先サーバーを運営している者」だけに閉じない点です。認証も暗号化もないということは、通信経路を横取りできる者、たとえばDNSの名前解決を書き換えられる立場にある者や、経路上で通信を差し替えられる立場にある者も、同じようにroot権限のコマンドを流し込めるということになります。つまり、悪用の主体は製造元に限られません。仕組みを知った別の攻撃者が便乗できる余地があるわけです。

なお、この件には識別番号としてCVE番号が割り当てられ、深刻度は最高水準に近い評価がなされたと報じられています。カナダのサイバーセキュリティー当局も注意喚起を出しました。

3. 脆弱性とバックドアはどう違うのか

ここで、言葉の整理をしておきます。今回の報道で繰り返し使われた「バックドア」という語は、日常のIT報道でよく見る「脆弱性」とは意味合いが大きく異なります。

脆弱性は、基本的に「間違い」です。プログラムを書く過程で想定が漏れていた、境界の処理が甘かった、設計の段階で考慮すべき攻撃手法が知られていなかった。原因はさまざまですが、いずれも作り手が意図していない穴です。だからこそ、作り手に知らせれば直してもらえます。修正版のソフトが配られ、利用者が適用すれば、その穴は塞がります。ソフトウェア産業のセキュリティー対応は、この前提のうえに組み立てられてきました。

一方、バックドアは「機能」です。誰かが意図して置いた入口です。仕様として存在している以上、それは不具合ではありません。作り手に報告しても「はい、そういう作りです」と返ってくる可能性があります。修正版を配ってもらったとしても、次のモデルに同じ設計が引き継がれない保証はどこにもありません。

バルンチェックが今回、一般的なソフトの欠陥ではなく製品に組み込まれた機能だと判断したと説明し、メーカーへの事前通知を行わずに公表したのは、この違いを踏まえた判断でした。同社は「ソフトの修正版を待つ問題ではなく、機器そのものへの信頼の問題だ」として、利用者に注意を呼びかけています。

この一文は、今回の事案の性格を最も端的に言い当てています。修正で解ける問題であれば、それは技術の話です。信頼の問題になった瞬間、それは調達の話、経営の話、そして政策の話になります。

4. 事前通知なしの公表という異例の判断

セキュリティー業界には、「協調的な脆弱性開示」と呼ばれる慣行があります。研究者が問題を見つけたら、まず開発元に非公開で伝える。開発元が修正版を用意する時間を確保する。修正版が配布されたタイミングか、あるいは一定の猶予期間が過ぎたタイミングで、初めて公表する。利用者が無防備な状態にさらされる時間を最小化するための、業界の知恵です。

バルンチェックは今回、この手順を踏みませんでした。事前通知なしの公表です。

これは批判されうる判断でもあります。実際、公表と同時に世界中の攻撃者もその存在を知ることになるからです。それでも同社が公表を選んだ理由は、先ほどの区別に立ち返ると理解できます。相手が「不具合」であれば、通知は修正への近道です。しかし相手が「意図された機能」であれば、通知は「利用者に知られる前に痕跡を消す時間」を与えることになりかねません。ファームウェアを差し替え、公開ページから該当ファイルを削除し、何もなかったことにする。そうなれば、証拠は残らず、利用者は何が起きていたのかを知る機会を永久に失います。

どちらの判断が正しかったのかは、立場によって評価が分かれるところでしょう。ただ、この判断そのものが、セキュリティー研究の世界で「相手を善意の作り手と前提できない領域」が広がっていることを示しています。協調的開示という慣行は、開発元と研究者が同じ目的を共有しているという信頼のうえに成り立っています。その信頼が置けないと判断されたケースが公然と現れたこと自体が、ひとつの転換点なのです。

5. Zbtlinkの反論を検証する

指摘を受けたZbtlinkは声明を出しました。要旨は次のとおりです。報告書で言及された遠隔管理機能は、アフターサービスの技術支援だけを目的としたものであり、顧客から明示的な要請と承認があった場合に機器の不具合対応や設定支援を行うためのものである。不正アクセスに使用されたことは一度もない。

そのうえで同社は、対象機種の販売を直ちに停止し、該当するファームウェアを公式サイトから削除したことを明らかにしました。現在は遠隔管理機能に関する問題を解消するファームウェアの更新版を開発・提供しているとし、「顧客の安全とプライバシーは最優先事項であり、この報告を極めて重く受け止め、対応を急いでいる」としています。

この反論を、頭ごなしに否定する必要はありません。実際、通信機器の業界には、遠隔からの保守を可能にする仕組みが広く存在します。通信事業者が貸し出すルーターには、事業者側から設定を投入したりファームウェアを更新したりする管理プロトコルが標準的に組み込まれています。それ自体は珍しいものではありません。

ただし、正当な遠隔保守の仕組みには、通常いくつかの条件が備わっています。

1つ目は、通信相手の認証です。管理サーバーが本物であることを機器が確認し、機器が本物であることをサーバーが確認する。証明書を使った相互認証が一般的です。2つ目は、通信路の暗号化です。経路上で盗み見られたり書き換えられたりしないようにします。3つ目は、利用者への可視性です。設定画面に遠隔管理の項目があり、有効か無効かが表示され、必要なら止められる。4つ目は、権限の限定です。保守に必要な操作だけができるようにし、任意のコマンドを最高権限で実行できる作りにはしません。5つ目は、記録です。いつ誰がどの操作をしたのかがログに残ります。

報じられている設計は、この5つのいずれも満たしていないように見えます。認証はなく、暗号化はなく、利用者に見える形での告知はなく、権限はrootのまま、そして記録の仕組みも確認されていません。加えて、動作が「顧客からの要請があったとき」ではなく「電源投入時から常時」である点も、説明とはかみ合いません。

さらに、プロセス名を正規のカーネル処理に似せていた点は、説明が難しいところです。正当な保守機能であれば、隠す動機がありません。むしろ、わかりやすい名前をつけて「これは保守用です」と示すほうが自然です。

バルンチェックのベインズ氏は、Zbtlinkの声明を受けたうえで、日本経済新聞に対し「世界中に展開されているルーターは、バックドアを通じた敵対的な乗っ取りに依然として脆弱だ。利用者にとって唯一の対策は、ルーターをネットワークから外し、侵害の兆候が記録されていないか監視することだ」と述べています。ファームウェア更新ではなく撤去を勧めるという、きわめて強い表現です。

なお、公平を期して付け加えておくと、現時点でこの機能が実際に悪用された証拠や、中国政府など国家主体の関与を示す証拠は公表されていません。これは重要な留保です。「悪用可能な状態にある」ことと「悪用された」ことは、別の事実だからです。

6. 21種類すべてから見つかった、という事実の重み

今回の調査でとりわけ重い意味を持つのが、対象範囲の広さです。

バルンチェックは、Zbtlinkが公式ページで公開している21種類のファームウェアを調べ、そのすべてから同系統の遠隔管理機能を検出したと報告しました。一部のバージョンではなく、全部です。関係する機種は20機種前後にのぼるとされています。

もしこれが混入事故であれば、こうはなりません。開発の途中で誰かがデバッグ用のコードを消し忘れた、という類のミスであれば、特定のビルドや特定の時期の製品にだけ残るはずです。全機種、全バージョンに同じ仕組みが存在するということは、それが製品開発の標準的な部品として組み込まれていたことを強く示唆します。つまり、事故ではなく設計です。

この「全数」という事実が、事案の性格を決定づけました。個別の製品の問題ではなく、その製品ラインを生み出す設計思想と開発プロセスの問題である、という読み方になるからです。そして、設計思想は次の製品にも引き継がれます。だからこそ、バルンチェックは修正ではなく機器そのものへの信頼を論点に据えたのです。

7. OEMという見えない流通：あなたのルーターの製造元は誰か

ここから話は、多くの読者にとって「自分ごと」に近づきます。

今回の対象は「Zbtlink」ブランドと「Wiflyer」ブランドで販売される製品のほか、他社ブランドとして販売されるOEM製品にも及ぶ可能性がある、と報じられています。これが厄介なのです。

現代のネットワーク機器の流通構造を簡単に説明します。世界の無線ルーターやモバイルルーター、産業用の通信機器の相当部分は、中国の深圳周辺に集積した設計・製造の企業群が担っています。ここには、自社ブランドで売るメーカーもあれば、他社の注文を受けて設計から製造まで請け負う企業もあります。

後者の場合、注文した側は自社のロゴを貼り、自社の型番をつけ、自社のサポート窓口を用意して販売します。基板とファームウェアは製造元のものです。購入者から見れば、それは「日本のブランドの製品」であり「欧州のブランドの製品」です。箱にも、本体にも、製造元の名前は出てきません。

この構造には合理性があります。開発費を抑え、短いサイクルで製品を出し、価格競争に対応できます。特に法人向けの産業用ルーターや、特定業界向けの通信端末では、一から自社開発するより現実的です。問題は、この構造が「中身の責任の所在」を曖昧にすることです。

ブランド企業がファームウェアの全行数を読み込んで検証しているケースは、決して多くありません。多くの場合、動作確認は「仕様どおりに動くか」を確かめる作業であって、「仕様に書かれていない動作をしていないか」を確かめる作業ではないのです。前者はテストで見つかりますが、後者は探しに行かなければ見つかりません。

したがって、読者が自分の環境を点検するとき、「Zbtlink製品は持っていないから大丈夫」という判断は、残念ながら十分ではありません。持っている機器の製造元が誰なのかを、ブランド名だけからは知りようがないからです。この不透明さこそが、今回の事案が投げかけている最も実務的な課題だと言えます。

8. 米国が輸入禁止まで踏み込んだ理由

今回の公表は、突然降ってきた話ではありません。米国では中国製通信機器への警戒が段階的に強まってきました。

米国の通信業界を監督する連邦通信委員会（FCC）は2026年3月、安全保障上の懸念を理由に、米国外で製造された家庭用ルーターの新製品の輸入を禁止すると発表しました。

この措置の射程を正確に押さえておくことは大切です。対象は新たに認証を受ける消費者向けルーターであり、すでに米国で認証済みの既存モデルや、すでに購入されて使われているルーターの利用そのものは対象外とされています。既存の認証済み機種については、少なくとも2027年3月1日まではソフトウェアやファームウェアの更新を認める猶予が設けられたと報じられています。また、国防総省や国土安全保障省の条件付き承認が得られた製品は例外扱いとなりうるとされ、企業向け機器は原則として別の扱いです。

注目すべきは、この規制が「中国製」ではなく「米国外製」という書き方をしている点です。特定国の特定企業を名指しして禁止する方式は、対象企業が社名を変えたり、別の法人を立てたり、他国に生産を移したりすることで回避されがちです。実際、規制対象の中国企業と実質的に同じ経営陣・同じ設計で別名の会社が現れる、いわゆるクローン企業の問題は以前から指摘されてきました。製造地そのものを条件にすることで、この抜け道を封じようという意図が読み取れます。

背景として、中国系企業が米国の家庭用ルーター市場の少なくとも6割を占めているという推計が報じられています。この数字が正しいとすれば、米国の一般家庭のネットワークの入口の過半が、地政学的な緊張関係にある国の製造網に依存していることになります。規制当局が動いた動機として、十分な説明力を持つ数字です。

9. TP-Link提訴が問うている「独立性」の証明責任

もうひとつの動きが、訴訟です。

米南部テキサス州のケン・パクストン司法長官は2026年2月、中国ネット機器メーカーのティーピーリンク（TP-Link）を提訴し、中国政府系ハッカーによるサイバー攻撃への利用などを主張しました。報道によれば、同州は同社が製品の安全性や独立性について誤認させる形で販売していると訴えています。

TP-Link側はこれらの主張を根拠がないとし、TP-Link Systems Inc.は独立した米国企業であり、中国政府や中国共産党は同社・製品・利用者データを支配していないと反論しています。

なお、米政府によるTP-Link製品の販売禁止案そのものは、報道ベースでは一時停止された段階にあるとされ、公開情報の範囲では特定1社を対象とした全面禁止が確定したとは言えない状況です。

この訴訟が興味深いのは、争点が「実際に何をしたか」だけでなく「独立していると言えるか」に及んでいる点です。企業が自らの独立性を証明するのは、本質的に難しい作業です。資本関係を開示し、経営陣の履歴を示し、データの保管場所を明らかにする。それでも、法制度上どこかの政府が情報提供を要求できる立場にあるかどうかという論点は残ります。

そしてこの論点は、TP-Linkに限りません。グローバルに製品を売るすべてのハードウェア企業が、いずれかの国の法域に属しています。今後、企業が説明を求められる範囲は確実に広がるでしょう。「うちの製品は安全です」では足りず、「うちの製品の中身は、誰がどこで書き、誰が検証し、どこに何を送っているのか」を示せることが、取引の前提になっていく可能性があります。

10. Volt TyphoonとSalt Typhoon：ルーターは国家作戦のインフラになった

なぜルーターがこれほど問題視されるのか。過去の事例が説得力を与えています。

2024年1月、米司法省とFBIは、中国の国家支援を受けた攻撃グループがボットネットを構築し、重要インフラへの侵入を隠すために利用していたとして、裁判所の承認を得た駆除作戦を公表しました。対象となったのは米国内の小規模オフィスや家庭向けのルーターで、いずれもメーカーのサポートが終了した製品でした。米国のサイバーセキュリティー当局は、この作戦に関連する勧告で、サポート終了済みの機器が悪用されたと明記しています。

このボットネットは、報道ベースでは2023年12月中旬に約1,500台の稼働ボットを抱えていたのが、駆除作戦後の2024年1月中旬には約650台まで縮小したとされています。数だけ見れば大規模ではありません。しかし、この作戦の目的は台数の多さではなく、「米国内の正規のIPアドレスから通信しているように見せかける」ことにありました。攻撃元が海外であることを隠し、防御側の検知網をすり抜けるための足場だったのです。

もうひとつが、通信事業者そのものへの侵入です。2024年12月時点の米政府関係者の発言では、この一連の侵害は少なくとも米国の8社に及び、世界では数十か国の通信事業者にも波及したとされました。その後の評価では、米国の9社が侵害され、うち4社では通信傍受のための設備へのアクセス、5社では中核となるネットワークや管理系へのアクセスが確認されたとする記述もあります。個別に監視対象となった重要人物は約1,500人にのぼり、別途、数百万加入者規模のメタデータ収集があったとされています。

こうした事例が示すのは、ネットワーク機器が「守るべき資産」であると同時に「攻撃者にとっての作戦インフラ」になっているという現実です。攻撃者はルーターを壊したいのではありません。使いたいのです。

11. なぜ攻撃者はルーターを欲しがるのか

ルーターという機器が持つ特性を、攻撃者の目線で並べてみると、その魅力がよくわかります。

まず、常時稼働しています。パソコンやスマートフォンは電源が落ち、場所も変わりますが、ルーターは基本的に24時間365日、同じ場所で動き続けます。攻撃基盤としての安定性がきわめて高い。

次に、通信のすべてが通過します。家庭やオフィスからインターネットへ出ていく通信は、原則としてこの機器を経由します。暗号化されている通信の中身は読めなくても、「いつ、どこと、どれくらい通信したか」という情報は取得できます。名前解決の要求を書き換えれば、利用者を偽のサイトへ誘導することも可能です。

さらに、監視の目が届きません。パソコンにはウイルス対策ソフトが入り、スマートフォンにはアプリの権限管理があります。しかしルーターの中で何のプロセスが動いているかを日常的に確認している人は、一般の利用者にはまずいません。企業でも、パソコンやサーバーの資産管理は行っていても、ネットワーク機器の内部までは見ていないケースが多いのが実情です。

そして、ネットワークの内側にいます。ルーターを取れば、その先につながっている端末、プリンター、監視カメラ、ネットワーク接続の記憶装置、産業用の制御機器に、内側から手が届きます。外から突破するより、はるかに容易です。

加えて、正規のIPアドレスを持っています。攻撃元を隠す踏み台として、これほど都合の良い資産はありません。日本の一般家庭のIPアドレスから来た通信を、日本の企業のセキュリティー機器が海外からの攻撃として警戒するのは困難です。

最後に、更新されません。パソコンのOSは半自動で更新されますが、ルーターのファームウェアを定期的に更新している家庭は少数派です。買ったときのまま、5年、7年と動き続ける機器が世界中に無数にあります。

これらを踏まえると、ルーターは攻撃者にとって「安定して、目立たず、内側にいて、正規に見え、そして誰も直さない」理想的な資産です。今回のような仕組みが、仮に意図をもって置かれたとするなら、その狙いは十分に合理的だということになります。

12. 日本の備えは今どこにあるのか

では、日本はどうでしょうか。

制度面では、いくつかの前進があります。ひとつが、IoT製品のセキュリティー要件への適合を評価してラベルで見える化する制度「JC-STAR」です。★1から★4の段階が設けられ、流通現場で広く使いやすいベースライン適合である★1から運用が始まりました。2025年ごろから制度が動き出し、公表資料によれば2026年7月時点で★1に適合した製品の型番は1,500以上に達しています。上位レベルの申請受付は順次拡大される予定です。

利用者にとってこの制度が持つ意味は、「箱を見て判断できる材料が増える」ことです。これまで消費者は、価格と通信速度と見た目でルーターを選んでいました。そこにセキュリティーという軸が、比較可能な形で加わります。もっとも、★1はあくまでベースラインであり、今回のような意図的に組み込まれた機能を検出することを主目的とした仕組みではない点には注意が必要です。

もうひとつが、総務省と情報通信研究機構が通信事業者と連携して進めるNOTICEです。2019年2月に始まったこの取り組みは、脆弱なIoT機器やマルウェアに感染した機器を観測し、通信事業者を通じて利用者へ注意喚起を行います。2026年2月の公表資料では、IDやパスワードが容易に推測できる機器が月に1万3,073件、マルウェア感染が検知された機器が月に2,332件といった規模が示されています。通知やメーカー側の対策によって観測数が減少するケースも確認されており、地道な運用に一定の効果があることがわかります。

政府調達については、日本は特定国の製品を法律で一律に禁止する方式をとっていません。ただ実務上は、安全保障やサプライチェーンのリスクを理由に、中央省庁や重要インフラ、防衛関連の調達で特定の中国系メーカーの通信機器がきわめて採用されにくい状態が続いています。2018年以降、この方向が強まりました。

さらに、2025年に成立した能動的サイバー防御に関する法制度があります。攻撃の兆候を事前に把握し、重要インフラや政府システムへの侵害を未然に防ぐための制度整備が柱で、通信情報の活用、攻撃インフラの無力化、官民連携の強化、権限行使の法的裏づけといった要素を含みます。関連する政省令の整備を経て段階的に施行される構図で、実運用は順次進んでいきます。

一方で、家庭用ルーター市場における中国メーカーのシェアについては、日本では公的な確定値が見当たりにくいのが実情です。低価格帯を中心に一定の存在感があることは市場観測として広く共有されていますが、「日本市場の何割」と断言できる公式統計は限られます。この「わからなさ」自体が、リスク評価を難しくしている要因のひとつです。

13. 投資家とビジネスパーソンが読むべき3つの構造変化

ここからは、事案の技術的な話から一歩引いて、経済の構造として何が起きているのかを考えます。

1つ目は、ハードウェアの価格に「信頼のコスト」が乗り始めるという変化です。

これまで、ネットワーク機器の価格は、部品費と製造費と物流費と利益で説明できました。安いものには安い理由があり、多くの場合それは「大量生産と競争」でした。しかし今後は、「どこで設計されたか」「ファームウェアの中身が外部の目で検証されているか」「供給網のどの段階まで追跡できるか」が価格に反映されていきます。米国が製造地を条件に規制を敷いたことは、この流れを制度として固定する動きです。

投資の観点で言えば、これは「安さで勝ってきた製造網」と「信頼を証明できる製造網」の分岐を意味します。後者に属する企業には、規制がつくり出す参入障壁という追い風が吹きます。米国内や同盟国内に生産拠点を持つネットワーク機器メーカー、ファームウェアの検証やソフトウェア部品表の管理を手がける企業、機器の振る舞いを監視する製品を提供する企業などが、その候補になります。同時に、供給網を中国製造に深く依存している企業には、規制対応のコストと、調達先を切り替える際の一時的な収益圧迫が生じます。

2つ目は、「見えない部品」の可視化が制度的な要求になるという変化です。

ソフトウェアの世界では、どのライブラリを使っているかを一覧化するソフトウェア部品表の整備が進んできました。同じ発想が、ハードウェアと組み込みソフトの領域に広がっています。今回の事案が示したのは、ブランド名だけでは中身がわからないという構造的な問題であり、これに対する唯一の答えは「開示」です。誰が設計し、誰が製造し、どのソフトウェア部品が入っているのかを示せる企業が選ばれ、示せない企業が調達リストから静かに外れていく。この選別は、法規制よりも早く、企業間の調達基準として進むと見るべきです。

3つ目は、「機器の寿命」が短くなるという変化です。

今回、調査会社は修正版のファームウェアを待つのではなく機器をネットワークから外すことを推奨しました。この判断が一般化すると、ネットワーク機器は「壊れるまで使うもの」から「信頼できなくなったら替えるもの」に変わります。買い替えの引き金が故障ではなく、地政学と情報開示になるということです。

これはメーカーにとって需要の押し上げ要因になりますが、同時に利用者にとっては継続的なコストです。企業の情報システム部門の予算配分にも影響します。5年使う前提で組んでいた減価償却の計画が、3年で見直しを迫られる可能性があるからです。

14. 今日からできる実務対応

抽象的な話が続きましたので、実務に落とします。

家庭や個人事業の方であれば、まず自分のルーターの正体を確認するところからです。本体の裏面や底面に、型番と製造元の情報が印字されています。ブランド名と型番を検索し、報じられている対象機種に該当しないかを確認します。該当しなくても、購入から5年以上が経過し、メーカーからのファームウェア更新が止まっている機器は、それだけでリスクが高い状態です。買い替えを検討する価値があります。

あわせて、管理画面のパスワードを初期値から変更しているかを確認してください。NOTICEの観測で毎月1万件を超える「推測しやすいIDとパスワードの機器」が見つかっている現実を踏まえれば、これは今なお最も効果の大きい対策です。管理画面をインターネット側から開ける設定になっていないかも確認しましょう。

中小企業の情報担当の方であれば、機器の棚卸しが出発点になります。社内で稼働しているネットワーク機器を一覧にし、それぞれのメーカー、型番、導入時期、ファームウェアの版数、サポート期限を記録します。この一覧がない状態では、次に何かが起きたときも「うちは関係あるのか」を判断できません。

そのうえで、外向きの通信の記録を取ることを検討してください。今回の事案が示したように、危険な通信は外から来るとは限りません。内側の機器が、誰も知らない宛先へ定期的に接続している可能性があります。定期的で、一定の間隔で、誰も設定した覚えのない宛先への通信は、それだけで調査に値します。

大企業や重要インフラを担う組織であれば、論点は調達の仕組みそのものに向かいます。取引先に対して、製造元の開示、ソフトウェア部品表の提出、ファームウェアの外部機関による検証結果の提示を求める契約条項を整備できているか。機器を導入する前に、外部への通信先を検証する工程が手順に組み込まれているか。そして、ある製品カテゴリを丸ごと入れ替える必要が生じた場合に、どれだけの期間と費用がかかるかを試算してあるか。

最後に、経営層の方へ。今回の事案の教訓は、「安く買った機器のリスクは、購入時ではなく数年後に、まったく別の形で顕在化する」ということです。ネットワーク機器の調達判断を、価格と速度だけの比較で現場に任せてきた組織は、その判断基準を見直す時期に来ています。

15. 「信頼できるハードウェア」という希少資源

最後に、少し引いた視点で締めくくります。

私たちは長いあいだ、ハードウェアを「中立な土台」として扱ってきました。ソフトウェアは疑い、更新し、監視する。しかしハードウェアは、電源を入れれば仕様どおりに動く箱として、疑いの外に置かれてきました。セキュリティーの議論も、その大半はソフトウェアの層で行われてきたのです。

今回の事案が突きつけたのは、その前提の崩壊です。機器は仕様書に書かれていないことをするかもしれない。しかもそれは、不具合ではなく設計かもしれない。そうだとすれば、修正を待つという選択肢は存在しません。

そして、これは1社の問題として終わる話ではありません。今回たまたま調べられたのがZbtlinkの製品だっただけで、同じ手法で調べられていない製品が世界には無数にあります。バルンチェックが公開ファームウェア21種類を丹念に解析したように、誰かが調べなければ、それは見つからないまま動き続けます。世界のネットワーク機器のうち、実際に中身を外部の目で検証されたものは、ごくわずかでしょう。

だからこそ、「信頼できるハードウェア」はこれから希少な資源になります。希少なものには値段がつきます。値段がつくものには、それを供給する産業が育ちます。米国が製造地を条件に規制を敷いたのも、日本がラベル制度を整えているのも、大きく見ればこの資源をどう確保するかという競争の一部です。

あなたの手元のルーターは、今日も静かにランプを点滅させています。それが何と話しているのかを、私たちは長らく問わずにきました。この事案が残す最も実務的な問いは、たぶんこれです。あなたが使っている機器は、誰が作ったものですか。そして、それを説明できますか。

答えられない機器が家や職場にいくつあるかを数えてみることが、おそらく最初の一歩になります。

参考文献・出典

いいなと思ったら応援しよう！

宮野宏樹 よろしければ応援お願いします！ いただいたチップはクリエイターとしての活動費に使わせていただきます！