欧州の政策からグローバルなサイバーセキュリティの最前線へと視点を移すと、2026年1月はインターネット接続デバイスにとって苛烈な1か月でした。脅威アクターは驚異的な速度でIoTデバイスに対する自動化攻撃を仕掛けており、標的は単純な消費者向けガジェットの域をはるかに超えて拡大しています。現在、エンタープライズのエッジデバイスや中核インフラを侵害する方向へ大きく舵が切られているのが確認されています。

RondoDoxボットネットとHPE OneView

2026年1月上旬、セキュリティ研究者は、HPE OneViewにおける重大な未認証リモートコード実行脆弱性であるCVE-2025-37164を標的とした、稼働中の大規模な悪用キャンペーンを特定しました。補足すると、OneViewはエンタープライズのデータセンターで広く利用されている集中型インフラ管理プラットフォームです。

攻撃を主導したのは、新たに発見されたRondoDoxボットネットで、1月7日にわずか4時間の間に40,000回を超える自動化攻撃の試行を実行しました。標的は無作為ではなく、政府機関、金融サービス、産業製造の組織に強く集中していました。RondoDoxは、現代のIoTボットネットが進化していることを示しています。もはやスマート冷蔵庫を乗っ取って迷惑攻撃を仕掛けるだけではなく、エンタープライズのサーバーラックやストレージアレイを制御する管理プラットフォームを積極的に狙っています。

15.7TbpsのAzure攻撃とAisuruボットネット

エンタープライズ・インフラが攻撃を受ける一方で、消費者向けデバイスも前例のない規模で武器化され続けています。ほんの数週間前、Microsoft Azureは、これまでに記録された中でも最大級の分散型サービス拒否（DDoS）攻撃の一つを吸収したと発表しました。このマルチベクター攻撃は、驚異的な15.72Tbpsおよび毎秒36.4億パケットでピークに達しました。

この巨大なトラフィックスパイクの発生源は、Aisuru IoTボットネットでした。Aisuruは、世界中で侵害された家庭用ルーター、監視カメラ、DVRを50万台以上取り込みました。ルーターやIPカメラのようなエッジデバイスは、消費者によって更新されることがほとんどなく、従来のセキュリティ境界の外側に置かれがちなため、脅威アクターにとっては、乗っ取り可能な高帯域ノードのほぼ無尽蔵の供給源となります。

拡大する攻撃対象領域

2026年の脅威状況は、管理されていないデバイスの圧倒的な量によって大きく特徴づけられています。最近の業界レポートによれば、ルーターとスイッチは現在、デバイス1台あたり平均30件を超える脆弱性を抱えており、エンタープライズネットワークにおける重大リスクの非常に大きな割合を占めています。

2026年における一般的なIoT攻撃ベクターには、次のものが含まれます。

• 未認証リモートコード実行（RCE）：欠陥のあるファームウェアを悪用し、ログイン資格情報を必要とせずに悪意のあるコードを実行する。
• 認証情報のブルートフォース：自動化スクリプトを用いて、公開されたTelnetまたはSSHポート上のデフォルトまたは脆弱な管理者パスワードを推測する。
• サプライチェーン侵入：デバイスのファームウェアに組み込まれているサードパーティ製ライブラリを侵害する。
• 中間者（MitM）によるデータ傍受：IoTセンサーからクラウドプラットフォームへ送信される暗号化されていない平文のテレメトリデータを盗聴する。

これに対抗するには、アーキテクチャの転換が必要です。組織は、ネットワーク上に実際に何が存在するのかを正確に把握するため、継続的かつパッシブなデバイス検出へ移行し、正確な資産台帳を維持しなければなりません。ネットワークセグメンテーションはもはや任意ではありません。IoTデバイスは重要なITシステムから厳格に分離し、これらのデバイスからのアウトバウンドトラフィックは厳重に精査する必要があります。