ベライゾンのセキュリティ担当チームRISKは、マルウェアに感染した数千台のIoTデバイスからの攻撃により、ネットワークがダウンした匿名の大学から相談を受けた。
犯人は大学内の自動販売機やスマートLED電球、さらには街灯など、約5,000台の機器をマルウェアに感染させ、大学のネットワークにDDos攻撃(ターゲットに複数のマシンから大量の処理負荷を与える)を行い、ダウンさせてしまったのだ。
このような場合、ネットワーク内の1台のデバイスに対する攻撃が成功すれば、残りの数千台を完全に乗っ取ることも可能だ。ネットワーク内のデバイスを次々と感染させていき、その過程で管理者パスワードも改変されるため、元の状態に戻すのが難しくなる。
今回の事例では犯人はパスワードをプレーンテキストで送信していたため、盗聴に成功した管理者が、改変されたパスワードを突き止めて被害の拡散を食い止めた。
大学側は「再発防止に取り組む」としており、この事例を公表することで他の機関らが予防的措置を取ることを期待しているという。