AI で穴を探す攻撃が始まった ― VPN も防犯カメラも、狙われるのは放ってある機器

ばらばらに見えるニュース

この半年（2026年11月時点）、ネットにつながる機器が狙われたというニュースが続いています。会社の VPN 機器、防犯カメラの録画機、テレビにつなぐ動画の機器です。

狙われた物も、使っている人も違うので、1件ずつ読むと「また何か出た」で終わりがちです。けれど並べてみると、共通点があります。どれも、置いたまま誰も中を見ていない機器が、入り込まれる入口になっています。

根っこ：AI で穴を探す攻撃

JPCERT/CC は10月15日、ウェブのサービスへの攻撃を調べた報告で、こう書いています。

攻撃者がAIを利用して、既知の脆弱性のスキャンやAPI経由での攻撃などを実施していたことを確認しました。

「既知の脆弱性」とは、もう見つかっていて、直し方も出ている穴のことです。攻撃する側は新しい穴を作るのではなく、まだ直していない所を探して回ります。その探す作業に、AI が使われ始めています。

この報告はウェブのサービスについてのもので、VPN やカメラで AI が使われたとは書いていません。ただ、探される物は同じです。探す手段が増えれば、直していない古い穴は、それだけ見つかりやすくなります。

IPA も VPN 機器について、「深刻な脆弱性が相次いで報告され、実際にネットワーク貫通型攻撃に悪用される事例も確認されています」と注意を呼びかけています（2025年10月31日）。

狙われている物

会社の VPN 機器・UTM

警察庁は、ランサムウェアの被害に遭った会社に、どこから入られたかを聞いています。入口が分かった件のうち、6割以上が VPN 機器でした。

今年6月には JPCERT/CC が、FortiGate などの機器のログイン情報が 86,644台分以上、攻撃者のデータベースに入っていたと伝えています。

「うちは VPN を使っていない」と思っていても、機器を入れた業者が、保守のために置いていることがあります。国内の病院や港が被害に遭った事件では、業者の保守用の VPN が入口だった、またはその有力な候補とされています。

防犯カメラの録画機

JPCERT/CC は、攻撃の相手を探す通信を観測しています。2025年10月から2026年3月末まで、日本からその通信を出していた機器で目立ったのは「ほぼ海外DVR製品」でした。DVR は防犯カメラの録画機です。

つまり、乗っ取られた録画機が、今度は次の相手を探す側に回っています。

テレビにつなぐ動画の機器

セットトップボックスは、テレビにつなぐと、YouTube や動画配信のアプリをテレビで見られるようにする機器です。Fire TV や Apple TV もこの仲間で、店の案内表示（デジタルサイネージ）にも使われています。

11月2日、Google などと日本の警察庁が、乗っ取りの仕組み「X.CPE」を一緒に止めたと発表されました。X.CPE は、130万台以上のセットトップボックスに、売る前から仕込まれていました。中心は Android で動く箱で、デジタルサイネージやカラオケの機械でも見つかっています。仕込んでいたのは、箱を作った Videostrong というメーカー自身でした。Google の解説に、Fire TV や Apple TV の名前は出てきません。日本で何台あったかは書かれていません。

ここは、ほかの2つと少し違います。古い穴を突かれたのではなく、売る前から仕込まれていました。ただ、使い始めたあと誰も中を見ていない、という点は同じです。買ったばかりの機器でも、安心とは言い切れません。

米国の FBI も去年6月、似た乗っ取り（BADBOX 2.0）について注意を呼びかけています。狙われた機器の多くは、中国で作られた物でした。FBI は見分け方として、名前を聞かないメーカーの機器などを挙げています。次のような機器は避けてください。

• 見慣れないメーカーの機器
• 「無料で見放題」をうたう機器
• 最初の設定で「Google Play プロテクトを切って」「見慣れないアプリの市場から入れて」と言われる機器

Google も、セットトップボックスは信頼できるメーカーから買うよう勧めています。

スマートスピーカーと、ほかの家電

アレクサや Google Nest などのスマートスピーカーは、実際に乗っ取られた被害の報告が、いまのところ見つかっていません。大きく心配しなくてよいと考えています。

ただ、名前を聞かないメーカーの安い機器を、そのままインターネットにつないでいるなら、一度見直した方がよさそうです。FBI は、テレビにつなぐ機器のほかに、プロジェクター、デジタルフォトフレーム、後付けのカーナビなども乗っ取られていたと挙げています。通販で安く売られている見守りカメラやスマートプラグも、同じように見直してみてください。

確かめる3つ

会社でも家でも、同じ3つで確かめられます。

1. 型番と、メーカーの更新がまだ出ているか。
   サポートが終わった古い機器は、買い替えを考えてください。
2. 最初のパスワードのまま、外から開けるままになっていないか。
   管理画面は、インターネットから開けないようにしておくのが基本です。
3. 入れた業者に聞く。
   「うちの VPN（録画機）は、誰が更新していますか」と聞いてみてください。すぐに答えが返ってこなければ、一度見てもらってください。

関係する記事

• 会社の防犯カメラ・録画機が乗っ取られないために ― 値段より先に確かめたい4つ
• VPN 機器とランサムウェア ― 保守用の機器は、誰が更新していますか
• PHP の脆弱性（PHP2shell）まとめ（VPN 機器やファイアウォールにも）
• ご相談: 防犯カメラ ・ GHOST-SCAN