Japan Drone 2024 登壇レポート「ハッカー目線で徹底解説！ドローンセキュリティ最新版」 / 開発者向けブログ・イベント

ドローンに関する総合展示会である「Japan Drone 2024 / 次世代エアモビリティ EXPO 2024」が千葉県・幕張メッセで開催されました。GMOインターネットグループはプラチナスポンサーとして協賛し、空のセキュリティをテーマにブース出展を行いました。
さらに国際コンファレンスとして「ハッカー目線で徹底解説！ドローンセキュリティ最新版」と題したセッションも開催しました。GMOインターネットグループからはGMOサイバーセキュリティbyイエラエから2人の専門家が参加。経済産業省の担当者がモデレーターとなって、ドローンに対するサイバー攻撃の最新情報を解説しました。
今回はこちらの国際コンファレンスで行ったセッションのレポートをお届けします。

出展概要

日　時：2024年6月5日（水）～7日（金）10:00～17:00
会　場：幕張メッセ（展示ホール5・6）千葉県千葉市美浜区中瀬2-1
主　催：一般社団法人日本UAS産業振興協議会（JUIDA）
共　催：株式会社コングレ

登壇者

山本健一氏　経済産業省製造産業局航空機武器宇宙産業課次世代空モビリティ政策室次世代空モビリティ戦略企画調整官
小池悠生　GMOサイバーセキュリティbyイエラエ株式会社　サイバーセキュリティ事業本部執行役員
三村聡志　GMOサイバーセキュリティbyイエラエ株式会社　高度解析部高度解析課

災害現場など様々な分野で活躍するドローンの規制の現状

ドローンは現在、空撮や測量、インフラ点検、物流、農業など、様々な分野で利用が拡大しています。ドローン技術の発展に伴って様々なリスクも高まっています。その1つがサイバー攻撃のリスクです。

まず冒頭、経済産業省の山本健一氏が、ドローンの活用事例として能登半島地震での活用状況を紹介。今回の地震では道路が寸断されて孤立した地域が発生して、歩いて行くにも5～6時間かかるような事例が起きていたといいます。

それに対してドローンで物資輸送したところ「わずか16分で届けられた」と山本氏は紹介。そのほかにも、壊れた家に人が入れない場合にドローンで確認する、災害住宅の建設に適した場所をドローンで上空から探す、といった活躍をしていたそうです。

こうしたドローンは、現在日本で38万機が登録されていると山本氏。現行の法規制では100g以上のドローンは登録が義務付けられており、100g未満のトイドローンなどを含めると数十万機のドローンが実際に使われていると山本氏は話します。

現行の政府の規制では、有人地帯での補助者なし目視外飛行を可能とするレベル4と立入り禁止措置（補助者、看板、道路横断時の知一停止）をおこなった目視外飛行が可能なレベル3があり、「立入り禁止措置」のハードルが高いため、「レベル3.5」という新たな制度も設けられました。

これによって、「道路を横切るときに見張りが必要だった」という状況から、ドローンのカメラで確認することで人の手間を省ける、ということになりました。こうしてドローンの利用拡大を図っているのが政府の方針だと山本氏は言います。

ただ、こうしてドローンの利用が増えると運行管理も重要になります。どのようにコントロールするか、規制、技術の両面から政府でも取り組んでいるそうです。

ドローンの運航管理技術だけでなく、性能評価、機体の安全性評価など、「政府では毎年30億円ほどの予算を使って開発している」と山本氏は説明しました。

ドローンに対するサイバー攻撃の脅威

現在、世の中のすべてのものがインターネットに接続する、いわゆるIoT（モノのインターネット）が広がっており、家電製品だけでなくドローンもIoTの1つに数えられます。そうしたインターネットに接続することで便利になる反面、危険性も高まっています。

そこで経済産業省でもIoT製品に対するセキュリティ適合性評価制度構築に向けた検討会を立ち上げるなど、セキュリティの確保に向けた取り組みを始めています。これはドローンに関しても同様で、政府はドローンの評価におけるセキュリティ適合性評価を検討していく考えです。

そうした規制の現状に対して、実際の攻撃の現状はどうなっているのでしょうか。GMOサイバーセキュリティbyイエラエの三村聡志は、ドローンに対するサイバー攻撃の脅威について次のように説明します。

「ドローンというのは、適切に対策をしないとサイバー攻撃の脅威に晒されてしまう危険性があります。例えば、第三者からの意図しない操作をドローンが受け付けてしまって、救援物資を意図しないところに運んでしまう、もしくは落とされてしまうというものです」。

これに加えて、ドローンが撮影した映像のデータを攻撃者に盗み取られてしまう、またそれを改ざんされてしまうといった、ドローンを介した攻撃というものも考えられます。

実際の攻撃手順についても三村は説明します。まずはドローン自体を把握するために分解をします。これによってWi-Fiとコントローラー間の通信など、一通りの機能を調べるのだといいます。ドローンの制御プログラムが書き込まれたチップを取り出して、プログラムを抜き出すといったことも行えます。

これによって、実際の攻撃ではどこをどのように狙えばいいのかといった部分がだんだんと見えてくると三村は指摘します。加えて、通信経路も調査します。ここで無線LAN経由での攻撃を調査した結果、攻撃の穴が見つかってドローンの映像を盗み見ることができたそうです。

過去の事例では、ドローンと接続したスマートフォンの画面を差し替えて制御を乗っ取り、PCで映像を盗むといった攻撃が成功したそうです。

こうした攻撃に対して、三村は「ドローンを守るには、まず前提として何を守らなければならないか」として2つのポイントを上げます。1つがデータ漏えい、もう1つが不正操作です。

気をつけるべきはドローンそのもの、通信経路、クラウドサーバーだと三村は指摘します。クラウドサーバーにはフライトプランなどの情報が格納されていて、録画データも伝送されている場合も多いため、クラウドの保護も重要になってくるわけです。もちろんカメラの映像を盗み見られる可能性もあり、「この3点セットの対策が重要」と三村。