連載【サイバー防御実務入門】第7回
今回のゴール
- 家庭のルーターとIoT機器が狙われる理由を理解する
- ルーターの点検ポイント（管理画面のパスワード・更新・サポート期限）を知る
- Wi-Fiの暗号化方式とパスワードの選び方を知る
- ネットにつながる家電を「踏み台」にさせないための点検ができる
はじめに：家族全員の通信が通る「玄関」
第4回で、家庭のWi-Fiルーターは家の中のネットワークとインターネットの境目に立つ「玄関」だという話をしました。前回の第6回ではパソコン1台の守りを固めましたが、玄関の鍵が開いていたら、家全体が危うくなります。
そして、玄関を通るのはパソコンやスマホだけではありません。テレビ、ネットワークカメラ、スマートスピーカー、エアコンや照明のリモコン、テレビにつなぐ動画再生機器……。今の家には、思っている以上にたくさんの「ネットにつながるモノ」（IoT機器）があります。
実は、第1回で一番身近に感じた「家庭の機器が知らないうちに踏み台にされる」話の主役は、まさにこのルーターとIoT機器でした。今回は、家のネットワーク全体を見直していきます。
1. ルーターとIoT機器が狙われる理由
警察庁の報告書（令和8年上半期）を読み返すと、家庭の機器をめぐる話がいくつも出てきます。
- 家庭の回線を使って通信を中継する「レジデンシャルプロキシ」として、持ち主の知らないうちに機器が悪用される事案が多発している。
- 2025年のネットバンキング不正送金では、少なくとも737件、約13.9億円の被害で、この仕組みが使われていた。
- 2026年5月から、家庭用ルーターやIoT機器に感染する「Mirai（ミライ）」というマルウェアの特徴を持つアクセスが急増した。
- 警察庁が踏み台になった可能性のあるデジタルフォトフレームやプロジェクターを調べたところ、サポートが終了したOSが入っている、管理者権限が簡単に使える、といった状態が見つかった。
攻撃者にとって家庭の機器は、とても「都合のいい中継地点」です。理由は3つあります。①24時間電源が入りっぱなしで、いつでも使える。②持ち主が画面で様子を見ることがほとんどなく、乗っ取られても気づかれにくい。③家庭の回線を経由すると、攻撃の通信がふつうの日本の家庭からのアクセスに見えるので、海外からのアクセスを制限しているサイトにも入り込みやすい。だからこそ、パソコンほど注目されないルーターやIoT機器が狙われるのです。
つまり、家庭の機器の守りは「自分の家を守る」だけでなく、「知らないうちに犯罪の片棒を担がされない」ためでもあるわけです。
2. ルーターの点検ポイント
① 管理画面のパスワードを、初期設定のままにしない
ルーターには、設定を変えるための「管理画面」があります。ここに入るためのパスワード（管理者パスワード）が、購入時のまま、あるいは「admin」や「password」のような分かりやすいものになっていると、攻撃者に設定を書き換えられるおそれがあります。
注意したいのは、管理画面のパスワードと、Wi-Fiにつなぐためのパスワードは別物だということです。最近の機種は、本体ラベルに機器ごとに異なる初期パスワードが印刷されているものが多くなっていますが、古い機種では共通の初期パスワードが使われていることもあります。
② ファームウェアを更新する（自動更新をオンに）
ルーターの中で動いているソフトを「ファームウェア」と言います。パソコンのWindowsと同じで、脆弱性が見つかれば修正版が配布されます。第6回で学んだとおり、修正が出ているのに更新していない機器は、「弱点の場所が公表された状態」になってしまいます。
最近の機種の多くには自動更新機能があります。管理画面で、自動更新がオンになっているか確認しましょう。
③ サポート期限を確認し、終わっていたら買い替えを検討する
ルーターにもサポート期限があります。メーカーのサイトで機種名を検索すると、「サポート終了製品」や「ファームウェア提供終了」の一覧が見つかることが多いです。更新が届かなくなったルーターは、新しい弱点がふさがれないままになるため、買い替えを考えるタイミングです。
第4回の「今日からできること」でメモした機種名が、ここで役に立ちます。
④ 使わない機能はオフにする
ルーターには、外出先から設定を変えられる「リモート管理」機能などが付いている場合があります。第4回で学んだように、外に向けて開ける窓口は少ないほど安全です。使っていない機能はオフにしておきましょう。
⑤ 見覚えのない設定がないか確認する
警察庁は2023年3月、家庭用ルーターがサイバー攻撃に悪用されており、従来の対策だけでは対応できない場合があるとして、メーカーと協力して注意喚起を行いました。管理画面を見たときに、自分で設定した覚えのない項目（たとえば、知らない接続設定やアカウント）がないかも、確認しておくと安心です。
- 管理画面で設定を変える前に、今の設定をスマホで撮影するなどして記録しておきましょう。
- 分からない項目は、無理に変更しないでください。インターネットにつながらなくなることがあります。
- 本体の「初期化（リセット）ボタン」は、最後の手段です。押すとすべての設定が消え、プロバイダの接続情報を入れ直す必要がある場合があります。
- 操作に不安があるときは、メーカーのスマホアプリや、プロバイダ・メーカーのサポート窓口を利用しましょう。
3. Wi-Fiの暗号化と、パスワードの選び方
Wi-Fiは電波で通信するので、壁を越えて家の外にも届きます。そのため、通信を暗号化して、第三者にのぞかれたり、勝手に使われたりしないようにする必要があります。暗号化にはいくつかの方式があり、古いものは今では安全とは言えません。
| 方式 | 状況 | おすすめ度 |
|---|---|---|
| WPA3 | 2018年に登場した最新の方式 | ◎ 使えるならこれ |
| WPA2（AES） | 現在も広く使われている | ○ 長いパスワードと組み合わせれば実用的 |
| WPA2/WPA3 混在モード | 古い機器と新しい機器の両方をつなぐための設定 | ○ 古い機器がある家庭向け |
| WPA（TKIP） | 古い方式。弱点が知られている | × 使わない |
| WEP | 非常に古い方式。短時間で破られるとされる | × 使わない |
Wi-Fiのパスワード（「暗号化キー」「パスフレーズ」などとも呼ばれます）は、第5回と同じ考え方で、長くて推測されにくいものにします。本体ラベルに印刷された初期のものは、機器ごとに異なるランダムな文字列であれば、そのまま使っても大きな問題はないとされていますが、人に教えたことがある場合や、引っ越しなどで誰が知っているか分からなくなった場合は変更を検討しましょう。
多くのルーターには、家族用とは別のネットワークを作る「ゲストWi-Fi（ゲストポート）」機能があります。来客に使ってもらうのはもちろん、IoT機器をゲスト側につなぐのも一つの方法です。こうしておくと、万一IoT機器が乗っ取られても、家族のパソコンやスマホがある側に入り込みにくくなります。第3回で学んだ「多層防御」を、家のネットワークで実践するイメージです。ただし、機器によってはゲスト側では動かないものもあります。
4. IoT機器の点検ポイント
ルーターの次は、つながっている機器の番です。次のポイントを順に確認していきましょう。
- 初期パスワードを変更する：ネットワークカメラなど、ログインが必要な機器は、購入時のパスワードのまま使わないようにします。
- 更新とサポート期限を確認する：機器の設定画面やスマホアプリで、ソフトの更新ができるか確認します。メーカーのサポートが終わった機器は、使い方を見直しましょう。
- 使っていない機器はネットから外す：押し入れのネットワークカメラや、使わなくなったタブレットがつながったままになっていないか確認します。第2回で学んだリスク対応の「回避」です。
- 手放すときは初期化する：譲ったり処分したりする前に、設定や登録情報を消しておきます。
買うときの目安：JC-STARラベル
これからIoT機器を買うときは、「JC-STAR（ジェイシースター）」というラベルが一つの目安になります。経済産業省とIPAが進めている、IoT製品のセキュリティを評価してラベルを付ける制度です。警察庁の報告書でも、JC-STARの適合ラベルが付いた製品を選ぶことや、購入前にメーカーのサイトでセキュリティ情報を確認することがすすめられていました。
警察庁の報告書では、「テレビにつなぐだけで海外の動画が無料で見られる」などとうたう機器の中に、購入した時点で不正なプログラムが仕込まれ、ネットにつないだ途端に踏み台として動き出すものがあると指摘されています。また、無料のVPNアプリや音楽アプリに、同じような仕組みが組み込まれていた例も確認されています。うますぎる話の機器やアプリは、家の中に入れないのが一番の対策です。
5. やってみた：自宅のルーターを点検する
今回は、自宅のルーターの状態を実際に確かめてみます。第4回の「やってみた」で確認した「デフォルト ゲートウェイ」の番号が、ここで再び登場します。
- ルーターの機種名を確認する：本体のラベルを見ます（第4回でメモした方はそれを使います）。
- メーカーのサイトでサポート状況を調べる：機種名で検索し、最新のファームウェアの公開日や、サポート終了の案内がないかを確認します。
- 管理画面を開く：多くの場合、ブラウザのアドレス欄にデフォルトゲートウェイの番号（「192.168.」で始まることが多い）を入力すると、ログイン画面が表示されます。メーカーのスマホアプリから確認できる機種もあります。
- 次の項目を確認する（見るだけで、無理に変更はしません）：
- ファームウェアのバージョンと、自動更新がオンになっているか
- Wi-Fiの暗号化方式（WPA3またはWPA2になっているか）
- 管理画面のパスワードが初期設定のままになっていないか
- つながっている機器の一覧（見覚えのない機器がないか）
※管理画面の入り方や項目の名前は、メーカーや機種によって大きく異なります。取扱説明書やメーカーのサポートページで確認してください。プロバイダから借りているルーターの場合は、プロバイダの案内に従ってください。
「つながっている機器の一覧」を見ると、家族のスマホ、テレビ、ゲーム機など、思っていた以上の数が並んでいるかもしれません。それぞれが何の機器か分かれば、第2回の「情報資産リスト」に書き加えておきましょう。分からない機器があれば、家族に聞いてみるのも点検の一部です。
用語メモ
- IoT機器
- ネットにつながる家電や機器。ネットワークカメラ、スマートスピーカー、テレビ周辺機器など。
- ファームウェア
- ルーターや家電などの機器の中で動いているソフト。更新で弱点がふさがれる。
- レジデンシャルプロキシ
- 一般家庭の回線を使って通信を中継する仕組み。乗っ取られた家庭の機器が、攻撃者の通信の中継に悪用される。
- Mirai（ミライ）
- ルーターやIoT機器に感染し、大量のアクセスを送りつける攻撃などに悪用されるマルウェアの一種。
- WPA3／WPA2
- Wi-Fiの通信を暗号化する方式。WPA3が最新で、WEPやWPA（TKIP）などの古い方式は使わない。
- ゲストWi-Fi
- 家族用とは分けて作る、来客やIoT機器向けのWi-Fiネットワーク。
- JC-STAR
- 経済産業省とIPAが進める、IoT製品のセキュリティを評価してラベルを付ける制度。
まとめと、今日からできること
- 家庭のルーターやIoT機器は、24時間動いていて気づかれにくいため、攻撃者の「踏み台」として狙われている。
- ルーターは、管理画面のパスワード・ファームウェアの自動更新・サポート期限の3点をまず確認する。
- Wi-Fiの暗号化はWPA3かWPA2を使い、WEPやWPA（TKIP）は使わない。
- IoT機器は、初期パスワードの変更、更新、使わない機器の切り離し。ゲストWi-Fiで分けるのも有効。
- 「無料で見放題」など、うますぎる機器やアプリは家に入れない。
- ルーターの機種名で、メーカーのサポート情報を検索する：サポートが終わっていないか、最新のファームウェアはいつ出たかを確認しましょう。
- 家の中のネットにつながる機器を書き出す：テレビ、カメラ、スピーカー、ゲーム機など。使っていないものはネットから外しましょう。
- ルーターの管理画面に一度入ってみる：変更はしなくて大丈夫です。どこに何があるかを知っておくだけで、いざというときに慌てずに済みます。
AIで見抜きにくくなったフィッシングメールやSMS、電話から始まる詐欺、ニセ社長詐欺まで。だまされないための見分け方と、もしだまされてしまったときの対処法を整理します。
参考資料
- 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf - IPA「JC-STAR（セキュリティ要件適合評価及びラベリング制度）」
https://www.ipa.go.jp/security/jc-star/ - 総務省「国民のためのサイバーセキュリティサイト」
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/ - IPA「情報セキュリティ10大脅威 2026」
https://www.ipa.go.jp/security/10threats/10threats2026.html
※本記事は2026年11月時点の情報をもとに作成しています。
