IoTの脅威と脆弱性｜ボットネットとIoT中級の要点

一言でいうと、脅威は「外から来る害の原因」、脆弱性は「機器やシステムの側にある弱点」です。脅威があっても弱点がなければ被害は起きにくく、弱点があっても狙う者がいなければ被害は表に出ません。両方がそろったときの損害の起こりやすさと大きさを、リスクとして評価します。

IoT では、パソコンやサーバと同じ脅威に加えて、機器が現実の物を動かす点が特徴です。カメラの映像が漏れる、錠が勝手に開く、工場の設備が止まるなど、被害が情報の外にまで広がります。

IoT機器が狙われやすいのは、性能が低いからではなく、管理の手が届きにくい条件が重なっているからです。次の表で、理由と対策を一対一で整理します。

日本では、推測されやすいパスワードの機器を調べて利用者に注意を促す取り組み NOTICE が、総務省・NICT・ICT-ISAC・インターネットサービスプロバイダなどの連携で2019年2月20日から続いています（2026年9月時点で継続）。

ボットネットは、マルウェアに感染して外部から操れるようになった多数の機器（ボット）の集まりです。IoT機器を狙うマルウェアの多くは、次の流れで数を増やします。

1. 1インターネット上の機器を自動で探索し、Telnet などの管理用の入口が開いている機器を見つける。
2. 2初期設定によくある ID とパスワードの組を順に試し、ログインに成功した機器にマルウェアを送り込む。
3. 3感染した機器は指令サーバ（C&C サーバ）とつながり、命令を待つ状態になる。同時に次の感染先を探す。
4. 4指令サーバの命令で、多数の機器が一斉に標的へ通信を送りつける（DDoS 攻撃）。
5. 5標的のサービスは処理しきれずに止まる。感染機器の持ち主は、通信量の増加や動作の遅れ以外に気づきにくい。

DoS は一か所から、DDoS は分散した多数の機器から負荷をかける攻撃です。IoT機器は一台ごとの通信量は小さくても、数が多いため合計で大きな負荷になります。

対策の要点は、入口を塞ぐ（初期パスワードの変更、不要な管理ポートを閉じる）、感染しても広げない（ネットワークの分離、通信の監視）、弱点を残さない（ファームウェアの更新）の三つです。更新の仕組みはセキュアブートとファームウェア更新で扱っています。

MCPC の公式ページでは、IoTシステム技術検定 中級（80問・90分・4者択一・CBT）の出題カテゴリの一つに「IoT情報セキュリティ対策技術」があり、比率は20〜25%と図で示されています（2026年9月27日確認）。カテゴリの内訳には「脅威と脆弱性、対策技術、標準と法制度」が挙がっています。

当サイトでは、公式テキスト『IoT技術テキスト 第4版』の第7章「IoT情報セキュリティ」がこの範囲に当たると推定しています（目次の章名からの当サイトの判断で、公式の発表ではありません）。合格基準は公式に非公開で、出題頻度も公表されていないため、次は考えられる観点の例です。

• ✓用語の区別：脅威と脆弱性、DoS と DDoS、ボットと指令サーバの役割を入れ替えた記述を見抜く。
• ✓原因と対策の組合せ：ある弱点に対して、効く対策と効かない対策を選び分ける。
• ✓IoT特有の事情：稼働期間の長さや利用者の意識の低さなど、パソコンとの違いを問う。
• ✓国内の取り組み：NOTICE や JC-STAR、IoTセキュリティガイドラインの目的や運用主体を問う。

試験全体の形式・日程・受検料はIoTシステム技術検定 中級とはにまとめています。マルウェアや標的型攻撃を広く問う情報・サイバーセキュリティ管理士の範囲は脅威の対策で扱っています。

選択肢が左の列のように書かれていたら、右の問いで確かめてください。