周知のようにランサムウェアは、貴重なデータを暗号化することでビジネス面でも一般ユーザーにも打撃を与え、またデータの復元と引き換えに時には莫大な金銭をゆすり取ろうとして、非常に大きな問題になっている。

だが、こんなふうに考えると少しは気が休まるかもしれない。脅威はコンピューター内やWebサーバ上の暗号化データに限定されているとか、システム・ロックは身代金を支払うまでの間辛抱すればいいだけだ、と。

しかし、IoTすなわち「モノのインターネット」が普及しつつある今、コンピューターと見なされるものの範囲が絶えず広がってきており、こうした「その他」の機器が将来ランサムウェアの標的になる可能性がある、とICIT（クリティカル・インフラ技術研究所）の報告者は警告する。

「ランサムウェア電撃戦を戦う」と警戒をあおる調子のタイトルが付いたこのリポートは、いろいろな暗号化ランサムウェア・ファミリーを取り上げ、コンピューター・ユーザーがそうした攻撃に対し多重防御を装備して立ち向かうことの重要性を強調している。しかしこのレポートの特に目を引くくだりは、将来予想される脅威について書かれた部分である。

すなわち、各種のIoT機器は仕組み上相互接続が可能であり、しかもその多くはセキュリティが全く確保されていない。したがってそれらの機器は、ランサムウェアを使った企みに絶好の温床を提供することになるだろう。伝統的なマルウェアを使うとなると、多数のIoT機器上で常時動作させるには重すぎるが、ランサムウェアは、たいていの場合、ちょっとしたコマンドと暗号化アルゴリズムからできており、はるかに軽くなっている。

ランサムウェアを心臓ペースメーカーに仕掛けられた人が、それを取り除くのにいくら払うと考えられるだろうか。こんなシナリオも決して絵空事ではない。実際、それはもっとずっと深刻で、命に関わることだ。ペースメーカーやインスリン・ポンプのような多くのメディカル機器、またその他の薬品投与システムが、インターネット対応やBluetooth対応になっている。ランサムウェアは、そうしたオープンな接続ポイントから侵入して、IoT機器に感染することができるだろう。

ICITがこのリポートの中で提起している問題点は、それほど「こじつけ」だとは思えない。 過去の経験から学んだことは、多くのサイバー犯罪者たちが他人の生命を危険にさらすことに何のためらいも持たないことや、多くのIoT機器が、一般のコンピューターと比べてずっと貧弱なセキュリティ対策で済まされており、ハードコードされたパスワードを使っているので、アップデートするための簡単なインフラすら備えておらず、ありとあらゆる脆弱性にむしばまれ得るということである。

実際、適当なボットネット要員とは通常見なされることのない防犯カメラやルーターのような機器が、DDoS（分散型サービス妨害）攻撃を仕掛けるために悪用されたことさえある。

だから、そうしたインターネット対応機器がランサムウェア型の攻撃を受け、クラッカーがその機器を正常な状態に戻すのにビットコインでの支払いを要求する、というのもあり得ないことではない。ランサムウェアが、例えば医療機器を標的にすることはない、などと誰が言えるだろうか。

2010年、あるハッカーが、オンライン上の車両停止サービスをハッキングして遠隔操作を行い、テキサス州オースティンで100台以上の車を走行不能にした。もしも犯罪者たちが「これは簡単に金になる」と思えば、将来、ランサムウェア攻撃をIoT機器に仕掛ける気になる者たちもきっと出てくるに違いない。

このリポートは続いて、IoT機器のバッテリーの寿命を縮めようとする別種の攻撃があり得る、という米セキュリティ企業であるサイランス（Cylance）社のジョン・ミラー（Jon Miller）氏の言葉を紹介する。

「ペースメーカーにちょっとした暗号化を施すだけで、そのバッテリーの寿命が10年から2～3年、あるいは2～3カ月にまでも縮まる可能性があります。ペースメーカーはそもそも、暗号化などという操作を維持するようには設計されていないのですから。暗号化によって電源を食えば食うほど、ますます状況は悪化します」

ただし当然のことだが、IoT機器にランサムウェア攻撃を仕掛けようとする者は、身代金の要求をその機器の持ち主に「どうやって」伝えるかを考える必要があるだろう。相手がラップトップPCなら簡単だが、ペースメーカーに対してはちょっとした工夫を凝らさなければならない。 攻撃者が何らかの手を使って、例えば被害者のメールアドレスを探し当てでもした、というなら話は別だが。

IoT機器に対するランサムウェア攻撃が将来、伝統的なコンピューター・システムに対する攻撃と同じくらい一般化していくかどうかは、今のところただ見守るしかないのかもしれない。

しかし確かなのは、以上のことが、インターネット対応機器を製造している全ての企業がセキュリティを最優先するように、より一層心を砕くためのもう一つの理由となる、ということではないだろうか。