発売後にIoTセキュリティ基準“JC-STAR”に適合したNEC「Aterm 7200D8BE」の対応状況をチェック。別型番も適合？　実際の対策状況は？

NECプラットフォームズ Aterm 7200D8BE

　Wi-FiルーターやNASなど、すでに幅広い機器が対応を公表し、IoT機器の身近な安全性基準として定着しつつある「JC-STAR（★1）」。その対応状況を実機で、実際に試してみよう、というのが今回の企画の趣旨だ。

　発売時は未対応で、その後、しばらくしてからJC-STAR★1適合となったNECプラットフォームズの「Aterm 7200D8BE」、しかもその型番違いとなる「AM-7200D8BE（Amazon.co.jp専売モデル）」で検証する。型番違いでもOKなのか？　ポートは何が開いているのか？　パスワードは何回でロックアウトされるのか？　などを実機で試してみた。

型番違いでもJC-STAR適合？

　JC-STARは、インターネットと通信可能なIoT製品を対象として、共通の基準でセキュリティ機能を評価・可視化する制度だ。

　詳細は、以下の記事、および同記事で紹介されている関連記事を参照してほしいが、法人向け製品だけでなく、家庭用のWi-Fiルーターでも徐々に対応製品が増えつつある。例えば、バッファローの「WXR18000BE10P」、そして今回取り上げるNECプラットフォームズの「Aterm 7200D8BE」などが適合済みとなっている。

IPAが公開している解説ページ「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」

　ただ、この制度は2025年3月に開始されたばかりで、消費者視点ではわかりにくい点もいくつかある。代表的なのが「型番」と「ファームウェアバージョン」についてだ。

　例えば、NECプラットフォームズの「Aterm 7200D8BE」（型番PA-7200D8BE）という製品は、JC-STAR★1適合となっている。製品情報ページにもJC-STAR★1ラベルが記載されており、適合ラベル登録番号からIPAの適合ラベル取得製品情報ページも確認できる。

Aterm 7200D8BEの製品情報ページには、JC-STARのロゴが表示されている

IPAのウェブサイトで公開されているAterm 7200D8BEの適合ラベル取得製品情報

　しかし、この製品には、型番が微妙に違う「AM-7200D8BE」という製品がある。筆者も購入済みで手元にあるが、Amazon.co.jpで販売されている簡易パッケージ版だ。

　Amazon.co.jpの製品情報にも、よく見ると「AM-7200D8BEは、PA-7200D8BEと同等商品です」と記載されており、実際、ハードウェアもソフトウェアも共通なのだが、前述したIPAのJC-STARの登録名は「PA-7200D8BE」となっているので、こちらもJC-STAR★1適合なのかどうかがわかりにくい。

Amazon.co.jpで販売されている「AM-7200D8BE」

「AM-7200D8BE」の説明に、「AM-7200D8BEは、PA-7200D8BEと同等商品です」と記載されている。しかし、商品情報ページに「JC-STAR」のロゴの表示はなく、適合であることは示されていない

　ということで、NECプラットフォームズに確認したところ、「AM-7200D8BEは、PA-7200D8BEと同等商品です。JC-STARの適合対象となります」ということだった。

　ややこしいので整理すると、Amazon.co.jp専売モデルの簡易パッケージ製品の型番は「AM-7200D8BE」だが、その中身、つまりWi-Fiルーター本体の型番は「PM-7200D8BE」ということになる。実際、筆者が購入したAM-7200D8BEの中身となるルーター本体には、背面に「PM-7200D8BE」という型番が記載されている。要するに、パッケージ全体だとAM-7200D8BEで、中身はPM-7200D8BEそのものということになる。

　このため、IPAの適合情報ページには中身となるルーター本体の型番として、PM-7200D8BEのみが記載されAM-7200D8BEの記載はないことになる。

　ただし、このあたりの対応はメーカーによっても異なるようで、例えば、バッファローは販路の違いによる細かな型番違いも適合情報に記載されている。具体的にはWSR-3000AX4Lのラベル取得製品情報には、末尾/C、/D、/Nなど、同一製品ながら別販路となる複数型番が列記されている。

　ハードウェア、ソフトウェアが同等であれば型番違いも適合として扱うのは一緒だが、IPAの「適合ラベル取得製品情報ページ」への記載方法は、メーカーによって異なる状況だ。

　ユーザーにとって大切なのは、「ハードウェア、ソフトウェアが最低限のセキュリティ基準を満たしていること」、つまり安心して使えるかどうかという点だ。その目安としてラベルがあったり、適合情報で対応を確認したりできるわけだが、現状は、上記の例のように微妙な型番違いなどの判別がしにくい印象だ。

ファームウェアのバージョン違いは非適合

　一方で、注意が必要なのはファームウェアだ。

　前掲のIPAの適合ラベル取得製品情報ページを確認すると、「適合バージョン」が「Ver 1.4.1～」となっている。

　今回取り上げたAterm 7200D8BEは、2025年4月に発売されたが、バージョン履歴を見ると、初期出荷時（2025年3月13日）のバージョンは1.0.4、同日に1.1.1がリリースされ、2025年9月30日に1.2.5、2026年１月23日に1.3.0、そして2026年3月31日に現在の最新かつJC-STAR★1適合要件の1.4.1がリリースされた。

　ややこしいのは、前回の適合ラベル取得製品情報ページから参照できる「初回発行日」の「適合評価チェックリスト（2025年8月22）」では、評価バージョンが「1.1.1」になっていることだ。

Aterm 7200D8BEの適合ラベル取得製品情報では、「適合バージョン」が「Ver 1.4.1～」となっている

適合ラベル取得製品情報からリンクされている「初回発行日」の「適合評価チェックリスト（2025年8月22）」では、評価バージョンが「1.1.1」になっている

　初期バージョンの1.1.1でも、JC-STAR★1で定められた最低限のセキュリティ要件を満たしていたが、現状は、最新のファームを適用しないとJC-STAR★1適合と言えないことになる。

　Atermシリーズにはファームウェアの夜間自動アップデート機能が搭載されているので、電源を入れて1日待てば自動的にJC-STAR★1適合になるが、長期在庫の製品や買ったまま設置せずに放置していた製品を使う場合は、まずファームウェアの手動更新を実施する必要がありそうだ。

ファームウェア1.1.1の自動アップデート画面

自宅でできる範囲で最低限のセキュリティ状況をチェック

　さて、ここからが本番だ。今回は、このJC-STAR★1の「最低限のセキュリティ」対策を、実機でチェックしてみた。

　もちろん、きちんとしたテストはメーカーによって実施されているので、前述の「適合評価チェックリスト」を確認すればいい。ただし、例えば、どれくらいパスワードを間違えるとロックアウトされ、ロックアウトから回復するにはどうすればいいのかを知っておくことは意味があるだろう。

　なお、今回、用意した製品は、筆者が発売時に購入し、そのまま保管していたバージョン1.1.1の製品だったため、事前に1.4.1にバージョンアップしてから検証を実施したことをお断りしておく。また、すべての項目をチェックすることは不可能（ユーザー情報の保存情報などの詳細は検証できない）なので、手元でできるチェックだけを実施した。

公開ポートチェック

　まずは、WAN側からのアクセス状況をチェックした。本製品を既存のネットワークの配下に接続し、WAN側のネットワークに接続したPCから、Pingやcurlを使ったアクセスを実施したが、これは応答なしとなった。当然だが、インターネット上に設定画面が公開されるような設定にはなっていない。

pingとcurlの画面（実行結果）

　続けて、WAN側のネットワークのPCから代表的なポート（FTP、SSH、DNS、HTTP、UPnPなど）にポートスキャンを実行した。こちらはポート53（DNS）が開いていることを確認できた。これは、恐らく二重ルーター構成やアクセスポイントモード時を想定した設定と推測される。

Nmapの出力結果：

# Nmap 7.99 scan initiated Sat Jul 18 08:08:24 2026 as: /usr/lib/nmap/nmap -Pn -sS -T4 --max-retries 2 --host-timeout 60s -p 21,22,23,53,80,443,500,1900,5000,8080,8443 -oN wan_common_ports.txt 192.168.50.89
Nmap scan report for 192.168.50.89
Host is up (0.00042s latency).

PORT STATE SERVICE
21/tcp filtered ftp
22/tcp filtered ssh
23/tcp filtered telnet
53/tcp open domain
80/tcp filtered http
443/tcp filtered https
500/tcp filtered isakmp
1900/tcp filtered upnp
5000/tcp filtered upnp
8080/tcp filtered http-proxy
8443/tcp filtered https-alt

　AtermのWAN側にプライベートIPv4アドレスを設定した場合、同一上位ネットワークからTCP／UDP 53番へ接続でき、再帰DNSとして利用できた。一方、WAN側をグローバルIPv4形式のアドレスに変更すると、ARPには応答するものの、UDP 53番はopen|filteredとなり、実際のDNS問い合わせはタイムアウトした。AtermはWAN側アドレスがプライベートかグローバルかによって、DNSサービスへのアクセス制御（フィルタ）している可能性がある。

　JC-STAR★1ではS1.1-13において、「すべての未使用の物理的インターフェース及び論理的インターフェースは無効化しなければならない」とあるので、特定の利用環境を考慮しつつインターネット側からの不正なアクセスを遮断していると考えられる。

　一方、LAN側については、53（DNS）、80（HTTP）、443（HTTPS）が開いていることを確認できた。DNSは名前解決、80はクイック設定Web（http://aterm.me）へのアクセスに利用される。

　443のHTTPSは、通常は利用されない。実際、PCのブラウザーから「https://aterm.me」でアクセスした場合、クライアント証明書が要求されエラーになってしまう。これも推測だが、おそらくスマホアプリの「Aterm ホームネットワークリンク」で利用するポートと考えられる。

　このように、普段使っていると意識しないポートも開いていることがわかったが、これらは利用形態によって必要なポートと考えられる。

PCのブラウザーから「https://aterm.me」にアクセスしたら、エラーが表示された

ログイン処理をパケットキャプチャ

　次に、管理画面にアクセスし、ユーザー名とパスワードを入力するプロセスをパケットキャプチャしてみた。前述の通り、PCからのクイック設定Webにアクセスする際はHTTPを利用するため、パスワードなどが平文でやり取りされていないことを確認してみた。

　結果を見ると、ログインはチャレンジレスポンス方式で実装されているようで、「admin」というユーザー名は平文で現れるものの、パスワードそのものを検出することはできなかった。

パケットキャプチャ結果。「admin」の文字列は確認できるが、パスワードは暗号化されている

単純なパスワードは使えるか？

　ただし、Atermではパスワードの要件があまり厳しくない。パスワードの要件は8文字以上の英数字とされており、記号は利用できない。また、試したところ「12345678」や「password」などの単純な値も設定可能だった。

　標準ではJC-STAR★1のS1.1-02の規定のように、機器ごとに個別で、十分なランダム性を持った値に設定されているが、ユーザーが単純な値に変更してしまうと、安全性が低くなってしまう可能性がある。単純なパスワードは絶対に設定しないようにしよう。

ブルートフォース対策のロックアウトは？

　また、ロックアウトについても確認できた。公式のヘルプでも紹介されているが、クイック設定Webのログインは10回連続で間違えるとアカウントがロックされ、以降は認証エラーとなる。

　通常、ロックアウトは一定時間経過すると自動的に解除されるが、本製品では電源を入れ直さないと解除できないようになっており、比較的、厳しい対処となっている。

ロックアウト画面。10回連続クイック設定Webのログインに失敗すると、電源を入れ直さない限りこの状態を解除できない

対応状況を整理

　以上、Aterm 7200D8BEのJC-STAR★1適合状況を実際にチェックしてみたが、以下のような結果になった。

　JC-STAR★1適合となっているため、最低限のセキュリティについては問題ないと言えそうだ。ただし、唯一、気になる点は、やはりユーザーが「12345678」や「password」といった単純なパスワードを選択できてしまう点だろう。ここは改善の余地がありそうだ。

　Amazon.co.jp専売モデルでもハードウェア・ソフトウェアが同一なら適合と考えていいというのも、ユーザー視点で迷わずに済むのでありがたい。実際に購入する際は、IPAのサイトで適合状況や対応ファームウェアのバージョンを確認することも重要だが、セキュリティ基準の一指標として参考にするとよさそうだ。