IoTの脅威と脆弱性｜ボットネットとIoT中級の要点

一言でいうと、脅威は「外から来る害の原因」、脆弱性は「機器やシステムの側にある弱点」です。脅威があっても弱点がなければ被害は起きにくく、弱点があっても狙う者がいなければ被害は表に出ません。両方がそろったときの損害の起こりやすさと大きさを、リスクとして評価します。

IoT では、パソコンやサーバと同じ脅威に加えて、機器が現実の物を動かす点が特徴です。カメラの映像が漏れる、錠が勝手に開く、工場の設備が止まるなど、被害が情報の外にまで広がります。

IoT機器が狙われやすいのは、性能が低いからではなく、管理の手が届きにくい条件が重なっているからです。次の表で、理由と対策を一対一で整理します。

日本では、推測されやすいパスワードの機器を調べて利用者に注意を促す取り組み NOTICE が、総務省・NICT・ICT-ISAC・インターネットサービスプロバイダなどの連携で2019年2月20日から続いています（2026年9月時点で継続）。

ボットネットは、マルウェアに感染して外部から操れるようになった多数の機器（ボット）の集まりです。IoT機器を狙うマルウェアの多くは、次の流れで数を増やします。

1. 1インターネット上の機器を自動で探索し、Telnet などの管理用の入口が開いている機器を見つける。
2. 2初期設定によくある ID とパスワードの組を順に試し、ログインに成功した機器にマルウェアを送り込む。
3. 3感染した機器は指令サーバ（C&C サーバ）とつながり、命令を待つ状態になる。同時に次の感染先を探す。
4. 4指令サーバの命令で、多数の機器が一斉に標的へ通信を送りつける（DDoS 攻撃）。
5. 5標的のサービスは処理しきれずに止まる。感染機器の持ち主は、通信量の増加や動作の遅れ以外に気づきにくい。

DoS は一か所から、DDoS は分散した多数の機器から負荷をかける攻撃です。IoT機器は一台ごとの通信量は小さくても、数が多いため合計で大きな負荷になります。

対策の要点は、入口を塞ぐ（初期パスワードの変更、不要な管理ポートを閉じる）、感染しても広げない（ネットワークの分離、通信の監視）、弱点を残さない（ファームウェアの更新）の三つです。更新の仕組みはセキュアブートとファームウェア更新で扱っています。

MCPC の公式ページでは、IoTシステム技術検定 中級（80問・90分・4者択一・CBT）の出題カテゴリの一つに「IoT情報セキュリティ対策技術」があり、比率は20〜25%と図で示されています（2026年9月27日確認）。カテゴリの内訳には「脅威と脆弱性、対策技術、標準と法制度」が挙がっています。

当サイトでは、公式テキスト『IoT技術テキスト 第4版』の第7章「IoT情報セキュリティ」がこの範囲に当たると推定しています（目次の章名からの当サイトの判断で、公式の発表ではありません）。合格基準は公式に非公開で、出題頻度も公表されていないため、次は考えられる観点の例です。

• 用語の区別：脅威と脆弱性、DoS と DDoS、ボットと指令サーバの役割を入れ替えた記述を見抜く。
• 原因と対策の組合せ：ある弱点に対して、効く対策と効かない対策を選び分ける。
• IoT特有の事情：稼働期間の長さや利用者の意識の低さなど、パソコンとの違いを問う。
• 国内の取り組み：NOTICE や JC-STAR、IoTセキュリティガイドラインの目的や運用主体を問う。

試験全体の形式・日程・受検料はIoTシステム技術検定 中級とはにまとめています。

選択肢が左の列のように書かれていたら、右の問いで確かめてください。

IoT機器の「脆弱性」に当たるものとして、最も適切なものはどれか。

1. 1機器を探索してログインを試みる外部のマルウェア
2. 2工場出荷時の共通パスワードが変更されていない状態
3. 3設置場所の周辺で起きる落雷や浸水などの自然災害
4. 4指令サーバから多数の機器へ送られる攻撃の命令

正解：2。脆弱性は機器やシステムの側にある弱点で、共通パスワードのまま使われている状態はその典型です。

1は外から来る害の原因なので脅威です。3も損害の原因となる自然の脅威で、機器の弱点そのものではありません。4は攻撃者側の仕組みで、これも脅威の側に入ります。

IoT機器によるボットネットの説明として、最も適切なものはどれか。

1. 1乗っ取られた多数の機器が、指令サーバの命令で一斉に通信を送る
2. 2一台の高性能なサーバが、標的に向けて大量の通信を送り続ける
3. 3利用者どうしが同意のうえで機器をつなぎ、処理能力を分け合う
4. 4機器の通信を暗号化し、盗聴されても中身を読まれないようにする

正解：1。ボットネットは感染した機器の集まりで、指令サーバから操られて DDoS 攻撃などに使われます。

2は一か所からの DoS 攻撃の説明で、分散した機器の集まりではありません。3は利用者の同意で成り立つ分散処理の説明で、乗っ取りとは異なります。4は暗号化による盗聴対策で、ボットネットとは関係がありません。

推測されやすいパスワードを狙って機器を乗っ取る攻撃への対策として、最も効果が期待できるものはどれか。

1. 1機器とクラウドの間の通信を暗号化する方式に切り替える
2. 2機器ごとに異なる初期値にし、初回起動時に変更を求める
3. 3収集したデータを暗号化してクラウドに保存するようにする
4. 4機器の電源を二重化し、停電時にも稼働を続けられるようにする

正解：2。攻撃の入口は推測されやすいパスワードなので、共通の初期値をなくし、利用者に変更させることが直接の対策になります。

1は通信の盗聴や改ざんへの対策で、ログインの入口は塞げません。3は保存データの漏えい対策で、機器の乗っ取りとは別の弱点に効きます。4は可用性を高める対策で、不正なログインは防げません。

ほかのセキュリティ用語も本番と同じ4択で試したい場合は、登録不要のIoT中級の無料お試し20問で、全問の解説まで確認できます。