清水理史の「イニシャルB」

人の振り見て我が振り直す ルーターの管理者パスワードは大丈夫?

 連日、ニュースで話題となっている情報漏えいの問題。対応のずさんさが課題となっているものの、果たして自分は大丈夫なのか? と考えると、結構、見落としている点があるかもしれない。中でも、最近、標的となりつつあるルーターの管理者パスワードは要チェックだ。

ルーターが新たなターゲットに

 ここ数カ月の間に、家庭用のルーターが標的となった攻撃のニュースがすでに何度か話題となった。

・家庭用ルーターにログインを試みる不正プログラムに注意、初期パスワードは変更を(http://internet.watch.impress.co.jp/docs/news/20150330_695355.html
・家庭用ルーターを狙って偽の警告文を表示する攻撃、ルーターの初期パスワードは変更を(http://internet.watch.impress.co.jp/docs/news/20150526_703860.html

 幸いなことに、大きな実害には発展していないようだが、明らかに新しいターゲットを探すような動きは、PCやスマートフォンから、その周辺へと攻撃のターゲットが拡大していることの現れであり、IoT時代に向けた攻撃者の準備のようにも感じられる。

 ここ数年で、確かにPCやスマートフォンのセキュリティ対策については、それなりに意識が高まってきたが、今や身の回りにはルーターや無線LANアクセスポイント、NAS、ネットワークカメラ、ウェアラブル端末など、PCやスマートフォン以外の機器もあふれかえっている。

 これらの対策について、あまり考える機会がなかったというのは、実はとても恐ろしいことだ。

 もちろん、「卵かニワトリか」ではないが、具体的な攻撃の被害がなければ対策のしようもない、というのも事実だ。このため、ルーターなどの機器のセキュリティ対策を、と言っても、まだほとんど手つかずとなっていることも無理はない。

 しかし、大きな被害というのは、得てして「なぜそんな……」と思えるようなずさんな管理や意識の低さが、そもそもの原因であることが多い。

 ルーターのパスワードが「admin/admin」、「admin/password」などというのは、実際には山のようにある話であり、ウイルスやワームなどとしてPCやスマートフォンに潜り込んだプログラムが、これらを悪用しないと考える方が不自然だ。

 インターネットへの出入り口を統括し、LAN上の機器のIPアドレスやMACアドレスをすべて把握している、いわば門番が、いつでも敵の言いなりであるというのは、よくよく考えると、非常に危険なことと言えるだろう。

管理者パスワードが標準設定のままになっているルーターが、攻撃のターゲットになりつつある

パスワードは知られているものと思うべき

 それでは、実際にどれくらいのルーターが無防備な状態になっているのだろうか? 残念ながら、筆者は、それを調べることができないが、かなりの数が存在すると考えられる。

 と言うのも、回線事業者からレンタルで提供されるルーターや市販のルーターの多くは、出荷時設定で「admin/admin」、もしくは「admin/password」というユーザーIDとパスワードの組み合わせが使用されており、身近な例を見ても、これらを変更せずに使っているユーザーが少なくないからだ。

 以下は、主要な回線事業者のルーター、および市販のルーターの標準設定をリストアップしたものだ。

表1:主要なルーターの初期設定値
ベンダー機種IPアドレス設定用URLユーザーパスワード
NTT東日本/西日本RT/PR/RVシリーズ192.168.1.1ntt.setupuser初期設定時設定
auひかりAterm BLシリーズ192.168.0.1-adm初期設定時設定
ソフトバンク光光BBユニット172.16.255.254-user/ybbuseruser
NURO光ZXHNF660T192.168.1.1-adminadmin
HG8045J192.168.1.1-adminadmin
HG8045D192.168.1.1-adminadmin
BuffaloAirStationシリーズ192.168.11.1-adminpassword
NECプラットフォームズAtermシリーズ192.168.10.1/192.168.0.1aterm.meadmin初期設定時設定
ASUSRT-ACシリーズ192.168.1.1router.asus.comadminadmin
ネットギアRシリーズ192.168.1.1www.routerlogin.netadminpassword
PLANEXMZKシリーズxxx.xxx.xxx.250から自動設定-adminpassword
エレコムWRCシリーズ192.168.2.1-adminadmin
アイ・オー・データ機器WN-ACシリーズ192.168.0.1/192.168.1.1-なしなし

 NTT東西やauひかり、NECプラットフォームズのルーターに関しては、初期設定時にパスワードの設定をユーザーに強要するが、そのほかはadminやpasswordなど、よく知られた文字列で、中には認証すら必要ない製品すらある。

 デフォルトゲートウェイに対して、ユーザー名4通り×パスワード3通りでアクセスを試みればいいのだから、攻撃者にしてみれば総当たりなどというほど大げさなことすらする必要がないわけだ。自宅のルーターのパスワードは、秘密などでもなんでもなく、誰もが知っていると考えるべきだ。

 もちろん、前述したように初期設定時にパスワードを強制的に設定する機種も存在する。しかし、そこで同様に「admin」や「password」という文字列を設定すれば同じことだ。

 中でも注意が必要なのが、設定を代行してもらった場合だ。回線事業者や無線LANルーターの設定代行サービスなどを利用した場合、もしくは知り合いに設定してもらった場合、一時的に設定する意味で、これらの文字列が設定されることは珍しくない。

 「後で変更しておいてね」と言って、本当に変更してくれる人はなかなかいないものだ。友人、知人宅の設定を代行した経験がある人は、今後、相手が被害にあって文句を言われることを避けるためにも、自ら再設定のために足を運ぶべきだ。

ユーザー名も変更しておくとさらに安心

 管理者パスワードの具体的な設定方法については、各製品の取扱説明書を参考してほしいが、前掲の主な製品については、以下の設定項目から変更可能になっている(2015年6月時点)

表2:主要なルーターのアカウント設定機能
ベンダー機種ユーザー名変更パスワード変更
NTT東日本/西日本RT/PR/RVシリーズ×メンテナンス-機器設定用パスワードの変更
auひかりAterm BLシリーズ×メンテナンス-管理者パスワードの変更
ソフトバンク光光BBユニット×ログインパスワード変更
NURO光ZXHNF660T×管理-ユーザー管理
HG8045J×管理-パスワード
HG8045D×システムツール-ログインパスワード変更
BuffaloAirStationシリーズ×管理-システム設定
NECプラットフォームズAtermシリーズ×メンテナンス-管理者パスワードの変更
ASUSRT-ACシリーズシステム-ログイン名/パスワードの変更
ネットギアRシリーズ×高度-管理者-新しいパスワード
PLANEXMZKシリーズOTHERS-ユーザー名/パスワード
エレコムWRCシリーズシステム設定-パスワード設定
アイ・オー・データ機器WN-ACシリーズ基本設定-システム設定-パスワード設定
無線LANルーターの管理者パスワード設定画面。簡単な設定なので、ぜひこの機会に変更しておくことをおすすめする

 注目は、パスワードだけでなく、ユーザー名も変更できる場合があることだ。ASUSやPLANEX、エレコム、アイ・オー・データ機器と、まだ数は多くないが、これらの製品では標準の「admin」を別のアカウントに変更できる。

 adminやrootなどのままでは、せいぜい数十通りの組み合わせにしかならないが、ユーザー名を変更しておけば、この組み合わせを飛躍的に増やすことができる。名前にする場合でも、フルネームにして文字数を増やすなど、ちょっとした工夫で強度を高めることができるので、可能な場合は必ず変更しておこう。

一部のルーターでは、ユーザー名も変更できる(画面はASUS RT-AC68U)

 肝心のパスワードだが、以下のサイトなどで安全なパスワード作成するためのヒントが提供されている。

・安全性の高いパスワードの生成(Microsoft Security)
https://www.microsoft.com/ja-jp/security/online-privacy/passwords-create.aspx
・より安全なパスワードを選ぶには(mozilla support)
https://support.mozilla.org/ja/kb/create-secure-passwords-keep-your-identity-safe
・安全なパスワードの作り方(McAfee Blog)
http://blogs.mcafee.jp/mcafeeblog/2010/05/1009.html

 海外からの攻撃なども考慮すると、日本語をうまく活用するといいだろう。例えば、「急がば回れ」などの覚えやすいことわざを「isogabamware」とローマ字にし、そのうち前半の「isogaba」の「i」を「1」に「s」を「$」に置き換える。後半の「maware」は最初の「m」を大文字の「M」にして、「a」を「@」に置き換えて、「1$ogabaM@w@re」とするといった要領だ。

 ただし、大切なのは、パスワードを使い回ししないこと。恐らくルーターへの攻撃は、直接ではなく、PCやスマートフォンを経由してLAN内部から行われることが想定される。このため、PC側などでパスワードが漏えいすると、そこからルーターも芋づる式に解読される可能性が高くなる。

 前掲の「より安全なパスワードを選ぶには(mozilla support)」に、サイトごとの使い分けの例が挙げられている。あまり単純だと、推測されてしまう恐れもあるので、一概におすすめしにくいが、ルーター用のパスワードには先頭や末尾に、記号と一緒にRouterを表す「rt!」やデフォルトゲートウェイを表す「:dgw」を付け加えておくというのも1つの方法だ。

セキュリティ機能を持ったルーターも

 より安全な環境で使いたいというのでれば、ASUSのRTシリーズのように、ルーター自身にセキュリティ機能が搭載された製品を使うのも1つの方法だ。

 トレンドマイクロの「Trend Micro Smart Home Network」という技術をベースにしたセキュリティ機能が搭載されており、ルーターの自己診断によって前述したパスワードの脆弱性などを自動的に診断することができる。

 この機能では、LAN上のPCやスマートフォンに対する攻撃をブロックすることなども可能となっている(詳細はこちらを参照)。

 ただし、このような市販のルーターを利用する場合に注意が必要なのが接続機器の構成だ。光ファイバーやADSL、CATVなどのサービスを利用している場合、回線事業者から提供されたルーターと市販のルーターを併用する場合がある。

 せっかく高度なセキュリティ機能を搭載した製品を用意しても、その先に接続されている回線事業者のルーターのユーザー名とパスワードが標準設定のままであれば、こちらが悪用されることも考えられるので注意しよう。

本体にセキュリティチェック機能を搭載したルーターも存在する。ただし、上位にルーターがある場合は、そちらに抜けがないかも要確認

すぐに確認と設定を

 というわけで、できれば自宅に帰ったら、すぐにでもルーターの管理者アカウントの設定を見直しておくことをおすすめする。友人や親類宅の設定を代行した人は、設定ついでに遊びに行く約束を取り付けておくといいだろう。

 もしも、ルーターが乗っ取られ、冒頭で掲載したニュースの例と同様に、DNSの設定が書き換えられたとしたら? と考えると、その対応はかなり難しそうだ。今まで通り、PCやスマートフォンなどの端末側のチェックと対策を何度やっても、ルーターを見落としていれば、原因を解決することはできない。

 ある日、突然、お宅のIPアドレスから攻撃があったと、第三者からメールが届くなんてのもイヤだ。

 もちろん、管理者パスワードの設定だけが、セキュリティ対策ではないが、見逃しがちなこの設定をチェックしておくことは、無駄ではないだろう。

清水 理史

製品レビューなど幅広く執筆しているが、実際に大手企業でネットワーク管理者をしていたこともあり、Windowsのネットワーク全般が得意ジャンル。最新刊「できるWindows 8.1/7 XPパソコンからの乗り換え&データ移行」ほか多数の著書がある。