病院はヤバいでしょ。冷凍施設のwebセキュリティがゆるゆる

  • 5,944

病院はヤバいでしょ。冷凍施設のwebセキュリティがゆるゆる

またしても簡単すぎるパスワード事案です。

スーパー、病院、製薬会社などの冷蔵設備に用いられる業務用の温度管理システムに、セキュリティの見直しが迫られています。

Safety Detective のセキュリティ専門家らは独自のレポートで、世界中にあるResource Data Management (RDM)社製のネットに接続された7419箇所の温度管理設備に対して、重大な脆弱性を発見したことを明らかにしました。各設備は多数の機械を制御している状態で、初期設定パスワードが変更されていないことから攻撃を受けやすくなっていると指摘しています。

専門家らは、検索エンジンShodanをネット接続機器に用いて調査にあたったところ、RDM社のシステムへのアクセス、温度調整アラーム設定、さらには冷蔵設備が設置された敷地の間取り図といった情報の取得までもが異様に容易であったとの結果を明かしています。

たとえばアイスランドの食糧庫の場合、理論的には貯蔵している食品をみんなダメにする、設備自体への損害につながる結果をもたらし得るといいます。またイギリスにある病院、マレーシア最大の製薬会社については、システム改ざんによって命に関わる結果をもたらすリスクがあることが指摘されています。

190214SafetyDetective
イギリス某病院施設の間取り図。研究者らが脆弱性を指摘するRDMのシステムから取得したもの
Screenshot: Safety Detective

レポートにて、研究者らは次のように記しています。

これらのシステムはすべて、安全ではないHTTP プロトコル、ありきたりなポート番号(9000のほかにも8080、8100、もしくは単純に80)を使用しています。またすべてのシステムが初期設定のユーザーネーム、パスワード「1234」を用いており、これらはシステム管理者によってほぼ変更されていません。今回のレポートにおけるスクリーンショットはどれもユーザーやパスワードを入力する必要はありませんでしたが、ほぼすべてのデバイスで初期のパスワードが使用されていたことがわかりました。

こうしたシステムのひとつにアクセスするうえでURLを探し当てるのは容易だと専門家らは主張するいっぽうで、RDMを保護するための具体案には触れられていません。その背景には、ちょっと意外なやりとりがあったようです。

Security Detectiveが今回の調査結果を一般公開する前に、研究者らがRDMに連絡をとろうとした際、メールを送っても返信がなかったためソーシャルメディアでコンタクトをとろうとすると、返ってきた反応は次の通り。

メールおよびアプローチをありがとうございます。あなた方のサービスを拝見しましたが、弊社にとって興味のあることではございません。シニアチームメンバーとして、今後私どもへの連絡をお控え頂くようお願いできますでしょうか。また、ソーシャルメディア上での投稿に私どもをタグ付けするのもご遠慮いただけますと大変幸いです。

RDM社はその後、この返信が不十分であったことに気がついたのか、より詳しいコメントを送ってきたといいます。RDM広報は、パスワード変更はユーザーの責任であり、ユーザーの許可なしに遠隔でソフトウェアをアップデートすることは不可能であることを研究者らに説明したそうです。

また、RDMは把握しているすべてのクライアント、(システム)設置者、代理店に初期設定のユーザーネームとパスワードを変更することの重要性について連絡する予定を明かしました。

米GizmodoからRDMに対して、システム稼働前にパスワード変更を必須化しない理由があるのか質問を投げかけたところ、同社広報から「私どもは、弊社システムが設置担当者によってどのようにセットアップされるか制御することができません」との返事がありました。TechCrunch が指摘する通り、カリフォルニアでは2020年よりデバイスの初期パスワード使用を禁じるという旨の法案が成立したばかり。おそらくスコットランドを拠点とするRDM社がこの件をどこまで気にするかはわかりませんが、EUでもIoT製品をめぐる新たな規制への注目が集まっています。

今回のような脆弱性の問題は、(RDMは制御できないと回答していたものの)システム提供者側が体制を見直すことで抜本的に防げることが多い気もしますが、そうでないというならばもうやはりほかでもなく初期設定パスワードをちゃんと変更するという誰もができる対策をしっかりやりましょう。

source: Safety Detective research lab via TechCrunch

    あわせて読みたい

    powered by