乗っ取り被害が出たIP電話機のベンダーが見解を発表、運用・製品の欠陥を否定

　レカム株式会社は25日、IP電話乗っ取り被害に関する一部報道について見解を出した。同社が販売するIP電話機のユーザーにおいて何者かによって不正に国際通話が発信され、高額な通話料金が請求された被害があったことを認め、その経緯を説明する一方で、同社の運用など問題があったとする指摘に対し、事実誤認だと反論している。

　レカムによると、同社が販売した「IPビジネスホン・AI900」のユーザーの一部で今年3月上旬から4月初旬にかけて、第三者によって電話機に不正アクセスされ、西アフリカのシエラレオネ共和国など海外へ多数の発信が行われるケースが発生したという。

　3月11日、一部のAI900ユーザーから、国際電話に頻繁に発信しているとの連絡があり、レカムが調査した結果、不正アクセスが行われていると推定。ユーザーから捜査機関に被害届を提出してもらう一方で、レカムはユーザーの了承のもと、AI900での海外発信規制などの緊急処置を実施。被害に遭っていないユーザーにも順次対応したが、処置を施す前に被害に遭ったユーザーもいるという。その後もたびたび被害が再発したが、通信キャリア側での発信規制なども行った結果、4月3日以降の被害は確認されていないとしている。

　AI900を使用している全ユーザーをレカムが調査した結果、被害に遭ったユーザーは74件、被害総額は5000万円規模に上ることが判明。ただし同社では、AI900の使用ユーザーが特定されていること、直接的な被害は通信キャリアからユーザーへの請求であるということから、ユーザーと通信キャリアに対して個別に対応してきたとしている。

　しかし、ネットエージェント株式会社が6月24日、被害に遭ったユーザーを調査した結果として、AI900のIP電話交換機（主装置）の設定・運用に問題があったことを指摘する報告書を発表。それが報道されたことから、レカムでは今回、事実関係について誤認されることのないように公表することにしたと説明している。

　レカムでは、AI900の主装置がインターネットに公開されていた状態だったとするネットエージェントの指摘に対して、AI900のウェブの設定画面や外部からのリモートメンテナンスに関してはVPN経由でないとアクセスできないと反論。また、初期設定パスワードのまま運用していたことが不正アクセスの原因であるとする指摘についても、初期設定パスワードでないユーザーでも被害が発生していることや、被害発生後にパスワードを変更しても不正アクセスが行われた事実があるとして反論している。

　さらに、被害の発覚後にレカムによって不正アクセスのログがAI900から消去されたという指摘についても、その事実はないと否定。そもそも電話機であることから、ログを保存する物理容量が大きくなく、短時間にアクセスを数万回行われるとオーバーフローとなり、不正アクセスが実行されていた部分のログが確認できなかったとしている。

　なお、レカムでは不正アクセスの手口を特定するには至っていないという。また、AI900は2009年より販売しているが、今回のような被害はこれまで無く、同製品で問題が発生しなかった間にも同種の被害が発生していたことを考え合わせると、同製品に仕様上の特別な欠陥があったとは考えにくいと結論付けている。

　現時点では、AI900の仕様や設計に関する調査を引き続き行い、第三者機関の協力を得ることも含めて対策を継続するとしており、しかるべき時期に調査結果を公表する予定。また、再発防止策としてファームウェアのアップデートなどを準備しているという。