会社のセキュリティ教科書 第4部 4-16
IoT機器のセキュリティ｜複合機・防犯カメラ・ルーターの守り方
公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太
こんなときに役立ちます
- 複合機・防犯カメラ・ルーターの初期パスワードや更新が気になるとき
- プロバイダから「NOTICE」の注意喚起が届き、何をすればよいか知りたいとき
- 新しく機器を買うとき、JC-STARのラベルを判断材料にしたいとき
読み終えたあと、社内でこう言えます
「複合機・カメラ・ルーターの初期パスワードと更新を確認しました」
結論：ネットにつながる機器は、パソコンと同じく攻撃の入口になります。総務省の資料（2026年9月）では、NICTが観測したサイバー攻撃の少なくとも3分の1以上がIoT機器を狙ったものでした。やることは4つです。初期パスワードを変える、ファームウェアを更新する、管理画面を社外から見えないようにする、サポートが切れた機器は買い替える。まず社内の機器を1枚の台帳に書き出すところから始めます。
なぜ複合機やカメラが狙われるのか
IoTはInternet of Thingsの略で、「ネットにつながるモノ」のことです。会社では、ルーター、複合機、防犯カメラとその録画機、Wi-Fiの中継機、会議室のテレビなどが当たります。
これらの機器は、パソコンより狙われやすい条件がそろっています。
- 初期のパスワードのまま：設置した業者の設定のまま、誰も変えていない。
- 更新されない：パソコンのように自動で更新されない機器が多い。
- 見張られていない：ウイルス対策ソフトを入れられず、乗っ取られても気づきにくい。
- 24時間つながっている：攻撃者にとって、いつでも試せる相手です。
NICT（情報通信研究機構）の「NICTER観測レポート2025」では、2025年に観測したサイバー攻撃関連の通信は約7,010億パケットでした。観測に使うIPアドレス1つあたり、年間約250万回届いた計算です。同レポートは、家庭用無線LANルーターや録画機（DVR）が不正なプログラムに感染する事例が続いていることも報告しています。
乗っ取られた機器は、ほかの会社への攻撃の踏み台に使われます。総務省の資料は、家庭用ルーターなどが悪用され、攻撃者の通信元を一般の家庭に見せかける事例が確認されていると説明しています。自社が被害者であると同時に、加害の道具にもなってしまうのです。
機器ごとのリスクと、まずやること
中小企業によくある3種類の機器について、何が起きうるか、まず何をするかを表にまとめます。
| 機器 | 起きうること | まずやること |
|---|
| ルーター | 設定を書き換えられ、社内に入られる。VPNの設定を勝手に足され、踏み台にされる | 管理者パスワードの変更、ファームウェア更新、見覚えのない設定の確認 |
| 防犯カメラ・録画機 | 映像を外から見られる。感染して攻撃に使われる | 初期パスワードの変更、録画機を直接ネットに出さない、メーカーの更新を確認 |
| 複合機 | スキャンした書類や宛先表を見られる。廃棄やリース返却のときに内部の記録が残る | 管理者パスワードの変更、ファームウェア更新、返却前のデータ消去 |
複合機は「コピー機」と思われがちですが、中身はサーバーに近い機械です。スキャンした書類をメールで送ったり、共有フォルダに保存したりするため、社内の情報とメールの設定を持っています。リース返却や廃棄の前には、メーカーや販売店の手順でデータを消し、消去の証明を受け取っておくと安心です。
ルーターは「見覚えのない設定」も確かめる
警視庁は、家庭用ルーターの不正利用について注意を呼びかけています。会社で使う小型のルーターにもそのまま当てはまります。従来の対策は次の3つです。
- 初期設定の単純なIDやパスワードを変える
- ファームウェアを常に最新にする
- サポートが終わったルーターは買い替えを考える
加えて、見覚えのない設定変更がないかを定期的に確かめることが新しい対策として挙げられています。管理画面で見る場所は次のとおりです。
- VPN機能、DDNS機能、社外から管理画面に入る設定が、知らないうちに有効になっていないか
- VPNの設定に、見覚えのないアカウントが足されていないか
見覚えのない設定があれば、ルーターを初期化し、ファームウェアを最新にしてから、複雑なパスワードを設定し直します。社外からの接続の守り方はVPN機器の点検の手引きにもまとめています。
NOTICE：国が弱い機器を探して知らせてくれる仕組み
NOTICEは、総務省・NICT・インターネットプロバイダが2019年2月20日から行っている取り組みです。インターネットにつながる機器を調べ、攻撃に悪用されるおそれのある機器が見つかると、プロバイダを通じて利用者に注意を呼びかけます。
| 項目 | 内容 |
|---|
| 調べること | 推測されやすいパスワードのままの機器。2024年度からは、ファームウェアの脆弱性がある機器や、すでに感染した機器も対象 |
| 調べ方 | 機器に悪影響が出ない方法で調べ、機器の内部には入らない |
| 届き方 | NICTからプロバイダへ通知し、プロバイダが利用者を特定して連絡する |
総務省の資料（2026年9月）によると、パスワードの調査で見つかった機器の通知数は、ピーク時から約32%減りました。注意喚起が届いたら、まず管理用パスワードを強いものに変え、ファームウェアを更新します。どの機器か分からないときは、プロバイダの案内やNOTICEの公式サイトの説明に沿って確かめてください。連絡に書かれた電話番号やURLが本物か不安なときは、契約書や公式サイトにある窓口から確かめるのが安全です。
JC-STAR：買うときにラベルで選ぶ
JC-STARは、IoT製品のセキュリティを星の数で示すラベル制度です。経済産業省とIPAが2025年3月25日に運用を始めました。正式な名前は「セキュリティ要件適合評価及びラベリング制度」です。
| 星 | 意味 | 評価する人 |
|---|
| ★1 | すべての製品に共通する最低限の要件 | メーカー自身（自己宣言） |
| ★2 | 製品の種類ごとの特徴をふまえた要件 | メーカー自身（自己宣言） |
| ★3・★4 | 政府機関や重要インフラでの利用を想定した要件 | 独立した第三者 |
ラベルには二次元コードがあり、読み取ると製品の詳細、セキュリティの情報、問い合わせ先などを確かめられます。IPAは2026年6月に、通信機器とネットワークカメラの★3の要件を公開しました。
注意点として、IPAは申請が受理される前に「JC-STAR適合予定」などと表示することを認めていません。ラベルは二次元コードで中身を確かめ、言葉だけの表示はうのみにしないのが安全です。ラベルがあれば安全が保証されるわけではなく、買った後の設定と更新は自社の仕事です。
中小企業の進め方：まず台帳を1枚つくる
IoT機器の対策で一番つまずくのは、何がつながっているか分からないことです。設置した業者が別々で、管理画面のパスワードを誰も知らない、という会社は珍しくありません。
たとえば社員25人の物流会社では（架空の例）
倉庫と事務所がある社員25人の会社を考えます。総務の1人がIT担当を兼ねています。半日あれば、次の台帳を作れます。
| 機器 | 置き場所 | 管理者 | パスワード変更 | 最終更新 | サポート期限 |
|---|
| ルーター | 事務所 | 総務 | 済 | 〇月 | メーカーで確認 |
| 防犯カメラ録画機 | 倉庫 | 設置業者 | 未 | 不明 | 業者に確認 |
| 複合機 | 事務所 | リース会社 | 未 | 不明 | 契約書で確認 |
「未」と「不明」が並んだ所から手をつけます。設置業者やリース会社が管理している機器は、パスワードの変更と更新を誰がするのかを文面で決めておきます。台帳は年に1回、機器を入れ替えたときにも見直します。
チェックシートではこう聞かれる
| よくある設問 | 答え方の例 |
|---|
| ネットワーク機器の初期パスワードを変更していますか。 | はい。ルーター、複合機、防犯カメラの録画機について、設置時に管理者パスワードを変更し、台帳で管理しています。 |
| ネットワーク機器のファームウェアを最新に保っていますか。 | はい。月1回、総務の担当がメーカーの更新情報を確かめ、更新があれば適用しています。 |
| サポートが終了した機器を使用していませんか。 | いいえ、使用しています。防犯カメラの録画機1台がサポート終了のため、〇月までに買い替える予定です。それまではネットに直接つながない設定にしています。 |
| 複合機などを廃棄・返却するとき、内部のデータを消去していますか。 | はい。返却前にリース会社の手順でデータを消去し、消去証明書を保管しています。 |
「いいえ」の場合も、代わりの対策と予定を添えると誠実な回答になります。書き方はチェックシートの回答の書き方を参考にしてください。
試験ではここが問われる
SG・支援士・Security+ 3
- IoT機器が狙われる理由：初期パスワードのまま、更新されない、監視されない。乗っ取られた機器はボットネットや踏み台に使われます。
- NOTICE：総務省・NICT・プロバイダが、弱いパスワードなどの機器を調べ、プロバイダ経由で利用者に注意喚起する取り組み。NICTERはNICTのサイバー攻撃の観測網です。
- JC-STAR：IoT製品のセキュリティ要件への適合を★で示すラベル制度。★1・★2は自己宣言、★3・★4は第三者評価です。
- 関連する指針：IoTセキュリティガイドライン（IoT推進コンソーシアムなど）は、SGのシラバスに用語として載っています。
- 英語：Security+ではIoTをアーキテクチャの分野で扱い、default credentials（初期の認証情報）やfirmware update、end-of-life（サポート終了）が問われます。
確認問題
問1 NOTICEの説明として、最も適切なものはどれですか。
- ア IoT製品のセキュリティ水準を星の数で示すラベル制度
- イ 攻撃に悪用されるおそれのあるIoT機器を調べ、プロバイダを通じて利用者に注意喚起する取り組み
- ウ ソフトウェアの脆弱性情報に識別番号を付けて公開する仕組み
- エ 企業のネットワークに入る通信を検査して遮断する装置
答えと解説
正解：イ NOTICEは総務省・NICT・プロバイダによる調査と注意喚起の取り組みです。アはJC-STAR、ウはCVEなどの仕組み、エはファイアウォールやIPSの説明です。
問2 社員20人の設計事務所（架空）で、ルーターの管理画面に、誰も設定した覚えのないVPNアカウントが見つかりました。最初に取る対応として、最も適切なものはどれですか。
- ア そのVPNアカウントだけを削除し、ほかはそのまま使い続ける
- イ ルーターを初期化し、ファームウェアを最新にしてから、複雑なパスワードで設定し直す
- ウ 社員全員のパソコンのウイルス対策ソフトを最新にする
- エ 様子を見るため、1か月間そのままにして通信量を記録する
答えと解説
正解：イ 見覚えのない設定は、管理画面に入られた跡と考えられます。アカウントを1つ消すだけでは、ほかの変更が残るおそれがあります。初期化して更新し、強いパスワードで設定し直すのが確実です。ウは大切ですがルーターの問題は解決せず、エは被害を広げます。
問3 JC-STARについて述べた文として、最も適切なものはどれですか。
- ア ★1は、独立した第三者機関が評価した製品にだけ付けられる
- イ ラベルを取得した製品は、購入後に設定や更新をしなくても安全が保証される
- ウ ★1と★2はメーカーの自己宣言で、★3と★4は第三者が評価する
- エ パソコンとスマートフォンだけを対象とする制度である
答えと解説
正解：ウ ★1・★2は自己宣言、★3・★4は独立した第三者の評価です。ラベルは購入時の判断材料で、買った後の設定や更新は利用者が行います。対象はネットと通信できる幅広いIoT製品です。
よくある質問
複合機のパスワードは、リース会社に任せていれば大丈夫ですか？
任せること自体は問題ありません。ただ、誰が管理者パスワードを持ち、誰がいつ更新するかを文面で決めておいてください。決めていないと、どちらもしていない状態になりがちです。返却時のデータ消去の手順も、契約書や作業報告で確かめておくと安心です。
防犯カメラをスマホから見たいのですが、やめるべきですか？
やめる必要はありません。ただし、録画機をインターネットに直接さらす設定は避け、メーカーが用意した接続サービスを使い、初期パスワードを変えて、更新を続けてください。サポートが切れた機器で外から見る使い方は、買い替えを考える時期です。
プロバイダから注意喚起が届きました。詐欺ではないでしょうか？
不安なときは、届いた連絡の電話番号やURLを使わず、契約書や公式サイトに載っている窓口から確かめてください。そのうえで、管理用パスワードの変更とファームウェアの更新を行います。手口に心当たりがなくても、行って損のない対策です。
参考にした資料
- 総務省サイバーセキュリティ統括官室「IoT機器調査（NOTICEプロジェクト）とレジデンシャルプロキシ対策について」（2026年9月7日、会議資料1-3）
- NICT「NICTER観測レポート2025」
- 総務省「IoT機器調査及び利用者への注意喚起の取組『NOTICE』の実施」（2019年2月）
- NOTICE（総務省・NICT）公式サイト
- 総務省「IoT機器調査から見える技術基準適合機器のセキュリティ対応状況」（2025年6月、情報通信審議会IPネットワーク設備委員会）
- 警視庁「家庭用ルーターの不正利用に関する注意喚起について」（2023年4月更新）
- IPA「IoT製品に対するセキュリティラベリング制度（JC-STAR）の運用を開始」（2025年3月25日）
- IPA「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」