警察庁は3月22日、不正プログラムに感染したIoT機器が発信元と考えられるアクセスの増加等について発表した。これは、2017年2月における、インターネット定点観測システムへのアクセス情報等を観測・分析した結果、1月下旬頃から宛先ポート5358/TCPに対するアクセスの急増を観測したというもの。これらのアクセスは、宛先ポート23/TCPに対してもアクセスをしている発信元IPアドレスが約52％存在していた。それらの発信元IPアドレスに対して、Webブラウザでアクセスしたところ、ネットワークカメラやルータ等のネットワーク機器のログイン画面が表示されることを確認したという。なお、これらのアクセスには「Mirai」ボットの特徴のひとつとされている「宛先IPアドレスとTCPシーケンス番号の一致」はみられなかったことから、「Mirai」ボットとは異なる不正プログラムに感染したIoT機器からのアクセスである可能性が考えられるとしている。一方、2月6日から宛先ポート32/TCPおよび3232/TCPに対するアクセスの急増を観測しているが、これらのアクセスの99％以上に「Mirai」ボットの特徴がみられたという。
