Kokoboにおける2026年1月のサイバーセキュリティ特集の締めくくりとして、スマートデバイスの脆弱性における最も恐ろしいトレンド――サプライチェーン侵害――に触れなければなりません。従来の脅威モデルでは、ユーザーがデバイスを危険なネットワークに接続したり、脆弱性のパッチ適用を怠ったりするまでは安全だと想定します。しかし2026年の現実は、消費者が箱を開ける前から、デバイス自体が積極的に悪意を持っているケースに直面しています。

BadBox 2.0現象

今月、研究者らはBadBox 2.0の存在を公表しました。これは工場レベルで侵害されたデバイスのみで構成される、既知最大級のボットネットだと考えられています。1,000万台を超えるスマートTV、デジタルプロジェクター、車載インフォテインメントシステム、デジタルフォトフレームが感染していることが判明しました。

マルウェアは製造・組立工程の最中、サプライチェーンの深部でAndroidベースのファームウェアに事前インストールされていました。消費者がデバイスを購入し、電源を入れて家庭または企業のWi-Fiに接続すると、デバイスは静かにコマンド＆コントロール（C2）サーバーへ通信します。その後、大規模なクリック詐欺、レジデンシャルプロキシサービス、アカウント乗っ取りに利用されるグローバルなボットネットへ組み込まれました。

感染はファームウェア層に存在するため、通常の工場出荷時リセットでは何も解決しません。封印された箱から出したばかりのデバイスだからといってクリーンだと、組織も消費者ももはや想定できない――そのことを突きつける厳しい警鐘です。

テレメトリを露出させるクラウド設定ミス

問題はデバイス自体の脆弱性だけではありません。それを支えるクラウドインフラも同様に脆弱であることが明らかになっています。最近の大規模な漏えいでは、スマート育成ライトおよび環境IoTセンサーの人気メーカーであるMars Hydroにおける重大なクラウド設定ミスにより、保護されていないデータベースがパブリックインターネットに露出していました。

データベースには27億件を超えるレコードが含まれており、極めて機微なデバイステレメトリ、正確な位置情報データ、ユーザーのIPアドレス、そして決定的に、平文のWi-Fiネットワーク名とパスワードが漏えいしていました。脅威アクターが、数百万のスマートホームおよび企業ユーザーの平文Wi-Fi認証情報データベースを単にダウンロードできるのであれば、ネットワーク境界をブルートフォースする必要性は完全に消滅します。

デフォルト認証情報の蔓延は続く

長年にわたる警告や、EU CRAのような法規制の施行が迫る中でも、根本的な欠陥が依然としてIoTマルウェアの大幅な増加を引き起こしています。脅威アクターは自動化スクリプトやツールを用い、デフォルト認証情報のまま、または古く未パッチのファームウェアに依存しているデバイスを探して、クラウドプロバイダーのIPレンジを継続的にスキャンしています。

2026年が進むにつれ、安全なネットワークと安全でないネットワークの差は、可視性によって完全に定義されるようになります。BadBox 2.0のようなサプライチェーン攻撃に対して、導入後のネットワーク監視は今や唯一信頼できる防御策です。自社ネットワーク上のデバイスが送信するアウトバウンドのテレメトリを分析できないのであれば、すでに侵害されていると想定しなければなりません。