ロシアのWebサイトで全世界のネットワークカメラ映像が流出(2) パナソニックの取り組みとは

　日本を含む世界各国のネットワークカメラの映像がまとめて見られる海外Webサイトの存在が、2016年の年明けから大きく報じられて世間の関心を集めた。

製品・サービス・業界動向業界動向

2016年4月9日（土） 10時00分

　日本を含む世界各国のネットワークカメラの映像がまとめて見られる海外Webサイトの存在が、2016年の年明けから大きく報じられて世間の関心を集めた。

　問題のWebサイトを見ると、プライバシーに関わるような映像が公開されているケースもあり、監視カメラを取り扱うメーカー、施工業者、販売店では、事態を重く受け止めて適切な運用方法を改めて告知するといった対応に追われている。

　そこで連載2回目となる今回は、日本国内で5割以上のシェアを誇るともいわれているパナソニック（パナソニックシステムネットワークス）で、セキュリティシステム事業部に在席する寺内宏氏に、同社のネットワークカメラの安全運用に関して話を聞いた。

●課題は対応策の周知徹底

　最初に、今回の騒動を受けてパナソニックが行った取り組みをまとめると、もともと2015年3月17日から同社の製品Webサイトで掲載していた「カメラ、レコーダーなどへの不正アクセスにご注意ください」という注意文に追加を加えた情報を同サイト内の「お知らせ」とバナー表示で2016年1月21日に公開。

　公開された主な注意点としては、次の3つ。
・「ユーザー認証」を「ON」にする。
・独自でユーザー名／パスワードを設定する。
・初期（工場出荷時）のユーザー名／パスワードを削除する。

　Webサイト以外では、新たに出荷される製品に関しては、設定時にポップアップウインドウで警告画面の表示を出したり、取扱説明書への記載、注意喚起をまとめたチラシの同梱なども行っていくそうだ。

　そうした取り組みと平行して、ユーザー対応としては、同社が掌握している範囲内でユーザーに連絡し、必要に応じてサポートを実施していくとのこと。

　これにて一件落着かといえばそうではなく、同社の場合は直接取り引きのある業者だけでなく、二次代理店、三次代理店、さらには世の中に無数にあるネットショップなどでも同社のネットワークカメラが扱われているため、自社の製品Webサイトからの「お知らせ」だけでは不十分だという認識を寺内氏は持っているという。

●公開を前提としたカメラでも要注意

　寺内氏によれば、今回の騒動により不安を感じたユーザーは大きく2つに整理できるという。

　1つ目が本来映像の公開を望んでいないユーザー。そして2つ目が、映像の公開を前提に設置していたものの、まさかこれほどまで広く公開されているとはと驚いているユーザーだ。両者はとるべきセキュリティ対策は変わらないものの、認識すべきポイントが異なる。

　前者の場合は、工場出荷時のID及びパスワードをそのまま運用することの危険性を知ってもらうところから注意喚起する必要がある。なぜなら問題のWebサイトで公開されていた監視カメラ映像は、いわゆる不正アクセスによって覗き見られたワケではなく、工場出荷時のIDとパスワードをそのまま使っていたものが大半だからだ。

　また、パナソニック製品では映像閲覧時に行うユーザー認証のON/OFFの切り替えができ、OFFにした場合は、未登録ユーザーでも視聴が許可されるため、今回の騒動を受けて常時「ON」にすることを推奨している。

　設定項目や手順は製品により異なるが、安全運用の基本概念となる、「工場出荷時のID＆パスワードからの変更」「ユーザー認証をONにすること」はマストの対策といえるだろう。

　ちなみにこうした設定変更に関しては、ネットワークカメラのみならず、セットで運用されるレコーダー、ソフトウェアにも必要になるので覚えておいて欲しい。

　そして2つ目が、映像の公開を前提とした運用ではあるものの、広範囲に見られることまでは想定していなかったユーザーへの注意喚起に関して。

　見られることを前提にしているからといって、初期のID＆パスワードのまま運用することのリスクが下がるワケではない。公開を望まないユーザーと同様に、きちんとIDとパスワードを設定・管理し、適切な方法で映像を公開すべきなのである。

　これは、誰でも利用することができる公共施設であっても、入ってはいけないエリアが設定されていたり、利用時間以外は管理者がきちんと戸締まりをしていることと同じだといえる。もし無防備なままでの公開を続けた場合には、管理者が公開を望まない時間帯も第三者から映像をのぞき見られたり、場合によっては不正アクセスを行うための踏み台に使われることだってありうる。

　このことから、注意すべき基本的な点は変わらなくても、非公開か公開を前提にしているかで、リスクの認識の違いが出てくるので注意して欲しいと、寺内氏は語っていた。

●セキュアながらも利便性を維持した仕様へ

　今回の騒動を受けて、諸々の対処策を示したことで一定の安全は担保されることになるが、定期的にIDやパスワードを変更するという作業は、ユーザーによっては不便に感じることもあるだろう。そうした場合は、忘れた頃に再び適切な対応が行われない状況に陥ることが危惧される。

　その辺を寺内氏に尋ねたところ、同社では、4月以降に出荷されるネットワークカメラ関連の製品に関して、セキュリティと利便性の両立が図れる仕様変更を導入し始めているという。

　そして、今回の問題だけでなく、ネットワークカメラの危険性として以前から指摘されている不正アクセスによるのぞき見などにも対処できるように、ユーザーのなりすましやデータ改ざんなどの防止対策なども実施しているそうだ。

　次回は、パナソニック以外のネットワークカメラを扱うメーカーの取り組みを紹介していく。

メーカー側に求められる対策とは……検証・ネットワークカメラ映像流出騒動#02

《防犯システム取材班／小菅篤@RBB TODAY》

PickUp

Scan PREMIUM 会員限定記事

Scan PREMIUM 会員限定記事特集をもっと見る

ロシアのWebサイトで全世界のネットワークカメラ映像が流出(2) パナソニックの取り組みとは

関連記事

Scan PREMIUM 会員限定記事

CMS Made Simple において遠隔から任意のコード実行が可能となる Server Side Template Injection の脆弱性（Scan Tech Report）

Apple ティム・クックとドナルド・トランプが育んだ熱い男の友情とは？クックのトランプへの贈り物

共通脆弱性評価システム CVSS の「信頼性」評価アンケート実施、回答の一部を公開

Microsoft Windows において ComputerDefaults.exe のレジストリ処理により UAC による制限が回避可能となる手法（Scan Tech Report）

カテゴリ別新着記事

関連記事

Scan PREMIUM 会員限定記事

CMS Made Simple において遠隔から任意のコード実行が可能となる Server Side Template Injection の脆弱性（Scan Tech Report）

Apple ティム・クックとドナルド・トランプが育んだ熱い男の友情とは？ クックのトランプへの贈り物

共通脆弱性評価システム CVSS の「信頼性」評価アンケート実施、回答の一部を公開

Microsoft Windows において ComputerDefaults.exe のレジストリ処理により UAC による制限が回避可能となる手法（Scan Tech Report）

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

CMS Made Simple において遠隔から任意のコード実行が可能となる Server Side Template Injection の脆弱性（Scan Tech Report）

「kingjiim_」や「kingjim_officiall」一文字違いのキングジムSNS偽アカウントがDM送信

VMware vCenter Serverに脆弱性、解説や影響を受けるシステムを探索する通信も確認

Movable Typeに複数のクロスサイトスクリプティングの脆弱性

ゲームのソースコードなどを不正取得されたCD PROJEKT、リンク含むツイートに削除申請

日本に 500 台、もし自社に「Emotet 感染しています」の連絡が来たら ～ 特定方法と対策 JPCERT/CC 解説

インシデント・事故 記事一覧へ

東北電気保安協会の顧客情報がネット上で閲覧可能に、職員がメールで第三者に送信

「大阪府立労働センター」にて書類を取り違えて送付、そもそも郵送時のマニュアルが存在せず

八景島シーパラダイスへの卒業遠足中に生徒名簿を紛失、ズボンの後ろポケットに入れたままで巡回

松下記念病院で1,971名分の「撮影画像データ」を記録したノートPCを紛失

社員PCがなりすましメール受信、添付ファイル開封後に大量の迷惑メールを送信

Salesforceの設定不備が原因で「KOBEぽすと」に不正アクセス

調査・レポート・白書 記事一覧へ

「電子サインを安全とは思わない」のは日本のビジネスパーソンの２割

CrowdStrike Adversary Calender 2021 年 3 月（ kryptonite panda ）

Googleが中高生ネット利用調査、「ネット詐欺にあいそうになった」生徒16％

小売電気事業者のためのサイバーセキュリティ対策ガイドラインVer.1.0 策定

国内 IT サービス市場 IDC 予測、2021年以降プラス成長に回帰

北海道・東北・関西・九州 ～ 地域セキュリティコミュニティのプラクティス集が公開

研修・セミナー・カンファレンス 記事一覧へ

「アカウントは漏洩している前提で備えるべき」～ ソリトンシステムズが提案する「Soliton OneGate」とは

ニューノーマルの３つの特徴と VMware が考える３つの包括的解決アプローチ

応募多数で参加枠２倍に「NRI Secure NetWars 2020」入賞者発表

明かされた「ＪＮＳＡセキュリティ十大ニュース」の謎、選考委員長 大木 榮二郎先生に聞く

ＮＧＡＶ ＋ ＥＤＲ ＋ ＳＯＣ の三位一体、サイバーリーズンだけが持つ平時有事のセキュリティ運用知見公開

SSL 通信可視化が必要な 2 つの理由と可視化後の課題 ～「ミスター A10ネットワークス」高木 真吾 氏に聞きたい話

製品・サービス・業界動向 記事一覧へ

川口洋氏や登大遊氏ら、2021年サイバーセキュリティ総務大臣奨励賞 受賞者

ワンビとネットアップ、総務省ガイドライン準拠し ADEC 消去証明書発行サービス

LogStare がログ転送モジュール無償提供 、syslog 非対応アプリのログ収集可能

KCCS「Salesforceセキュリティ診断サービス」提供開始、1回80万円から

NRIセキュア「Okta Identity Cloud」のライセンス販売と導入支援サービス開始

SHIFT SECURITY、先着10社に「Salesforce」クラウド診断の一部プランを無償提供

おしらせ 記事一覧へ

ScanNetSecurity システム更新のお知らせ

特典ノベルティ写真公開、Scan PREMIUM 創刊22周年記念キャンペーン11月末迄

ScanNetSecurity 創刊22周年御礼の辞（上野宣）

上野編集長就任１０周年記念オンライン飲み会 ７月１７日開催（ScanNetSecurity）

上野宣 編集長就任10周年記念オンライン飲み会、Scan PREMIUM「宣ベロ」ライセンスキャンペーン実施（イード）

上野宣から編集長就任10周年の御礼

Apple ティム・クックとドナルド・トランプが育んだ熱い男の友情とは？クックのトランプへの贈り物

脆弱性と脅威記事一覧へ

日本に 500 台、もし自社に「Emotet 感染しています」の連絡が来たら～特定方法と対策 JPCERT/CC 解説

インシデント・事故記事一覧へ

調査・レポート・白書記事一覧へ

北海道・東北・関西・九州～地域セキュリティコミュニティのプラクティス集が公開

研修・セミナー・カンファレンス記事一覧へ

「アカウントは漏洩している前提で備えるべき」～ソリトンシステムズが提案する「Soliton OneGate」とは

明かされた「ＪＮＳＡセキュリティ十大ニュース」の謎、選考委員長大木榮二郎先生に聞く

ＮＧＡＶ＋ＥＤＲ＋ＳＯＣの三位一体、サイバーリーズンだけが持つ平時有事のセキュリティ運用知見公開

SSL 通信可視化が必要な 2 つの理由と可視化後の課題～「ミスター A10ネットワークス」高木真吾氏に聞きたい話

製品・サービス・業界動向記事一覧へ

川口洋氏や登大遊氏ら、2021年サイバーセキュリティ総務大臣奨励賞受賞者

LogStare がログ転送モジュール無償提供、syslog 非対応アプリのログ収集可能

おしらせ記事一覧へ

上野編集長就任１０周年記念オンライン飲み会７月１７日開催（ScanNetSecurity）

上野宣編集長就任10周年記念オンライン飲み会、Scan PREMIUM「宣ベロ」ライセンスキャンペーン実施（イード）