「エアコンにもサイバー攻撃の脅威」？ 平均13年使用で、セキュリティは何年持つのか…長く使う《日本の家電に潜む盲点》

　外出先から冷蔵庫の中身を確認し、買い物を済ます。ペットの様子をウェブカメラから確認し、遠隔操作でエアコンを入れてから帰宅する。IoT(モノのインターネット)と呼ばれる、ネットに接続した製品が普及することで、私たちは外出していても自宅とつながりを持てるようになっている。 ■家電の安全を「見える化」するJC-STAR 　便利なIoT製品だが、ネットにつながっている限りサイバー攻撃の標的にもなってしまう。実際、2026年2月に行われたスマートホームに関するイベントの中で、経済産業省のサイバーセキュリティ課長は、現在のサイバー攻撃の約3分の1がIoT機器を狙ったものだと説明している。

　外出先から冷蔵庫の中身を確認し、買い物を済ます。ペットの様子をウェブカメラから確認し、遠隔操作でエアコンを入れてから帰宅する。IoT(モノのインターネット)と呼ばれる、ネットに接続した製品が普及することで、私たちは外出していても自宅とつながりを持てるようになっている。 ■家電の安全を「見える化」するJC-STAR 　便利なIoT製品だが、ネットにつながっている限りサイバー攻撃の標的にもなってしまう。実際、2026年2月に行われたスマートホームに関するイベントの中で、経済産業省のサイバーセキュリティ課長は、現在のサイバー攻撃の約3分の1がIoT機器を狙ったものだと説明している。

　もちろん、ネット接続機能のない従来型の冷蔵庫やエアコンはこうしたリスクは基本的にない。とはいえ、ネット接続機能を備えた家電は確実に普及しはじめている。 　パソコンのセキュリティは気にしても、自宅用のIoT家電にまで気が回るユーザーはそう多くない。一方、IoT家電の脆弱性を起点に、自宅のコンピュータ等への侵入を許すケースもある。 　こうした課題に対して、政府は2025年3月、IoT製品のセキュリティ対策を「見える化」する制度を始めた。経済産業省と情報処理推進機構(IPA)が運用する「JC-STAR(セキュリティ要件適合評価及びラベリング制度)」である。一定のセキュリティ基準を満たした製品には、星マークのラベルが付与される。

　対象製品にはルーターやネットワークカメラ、エアコンや冷蔵庫に給湯器のリモコンなど、幅広い。2025年7月にはパナソニックのエアコン「エオリア」が家電として国内で初めてラベルを取得し、その後はシャープ、ダイキン、三菱電機などが続いている。 　IPAのウェブサイトでは、ラベルを取得した製品と「有効期間」が確認できる。たとえばパナソニックの国内向けルームエアコンは2027年7月13日、三菱電機の霧ヶ峰(無線LAN内蔵機種)は2028年6月4日となっている。

　ラベルによって安心感が得られるとはいえ、課題もある。JC-STARラベルの有効期間中は、メーカーにセキュリティ上の不具合を直すアップデートの提供が義務づけられている。しかしラベルの有効期間は原則2年間と短い。 　もっとも、ラベルは延長可能であり、メーカーも対応を行うことが予想される。たとえばIPAが公開しているパナソニックの対象エアコンの資料には、セキュリティサポートについて「未定だが、適合ラベル交付日より2年間以上を保証」と記されている。

　しかし、いつまで保証されるかわからない家電を購入するには、心理的に抵抗感を持つユーザーもいるだろう。さらにもう一つの課題は、家電製品の使用期間にある。 ■平均で13年使われる日本の家電 　日本人は家電を長く利用する傾向がある。内閣府が2026年3月に実施した消費動向調査によれば、買い替える前の家電の平均利用期間は、ルームエアコンが「13.4年」、冷蔵庫が「13.1年」だった。この数字にはネット接続機能のない従来型の家電も含まれるが、日本で家電が長期間使われる傾向を示している。

　長く使う家電だが、これまでもその「寿命」に関する表示や慣行があった。エアコンには製造年と、安全に使える目安である「設計上の標準使用期間」の表示が法律で義務づけられている(長期使用製品安全表示制度)。また修理用の部品も、多くのメーカーが製造終了から10年程度保有している。 　このように、消費者は物理的な安全と修理について、その年数を知ることができる。ところがネット家電の「セキュリティの寿命」については、上述のように企業の対応も今のところ不透明な部分がある。

　更新が止まった家電は、新たに見つかった弱点を抱えたままネットにつながり続ける。2016年には「Mirai」と呼ばれる不正プログラムが、防犯カメラやルーターといった大量のIoT機器を乗っ取り、大規模なサイバー攻撃の踏み台にしたことで問題となった。家庭用の機器が乗っ取られ、犯罪の踏み台に使われた事例は国内でも報告されている。したがって、被害を受けるのは家電の持ち主だけでなく、そこを踏み台に攻撃を受ける企業や社会全体にも及ぶ。AIを使えば、更新の終わった機器を探し出して一斉に攻撃することも、今後ますます容易になるだろう。

　では、企業はどこまでIoT家電のセキュリティ対策を行うべきなのか。平均利用期間の13年間の保証を明記するには、メーカーの費用負担は大きい。とはいえ短い年数を書けば、「長く使える日本の家電」というイメージとの落差が目に見えてしまうこともあり、企業にとっては判断が難しいところだろう。JC-STARは任意の制度である以上、あえて終了時期を明示せず「未定」とし、ユーザーや市場の反応を待っているのかもしれない。

　ちなみに海外では、イギリスが2024年4月から、セキュリティ更新を提供する期間を終了日とともに公表するよう法律でメーカーに義務づけている。またEUも2027年12月から、原則5年以上、製品の想定使用期間に見合ったサポートを求める。対象製品など、細かくみれば詳細は異なるものの、欧州は日本よりも明確な基準が設定されている。 　とはいえ、どこまでサポートを継続するかは日本に限らず、IoT製品を扱う企業にとって、大きな課題となっている。特に白物家電など、これまでネットにつなげることを想定していなかった製品を扱う企業は、ユーザーの想定使用期間などを含めて、対応を検討すべきであろう。

■ユーザーができる対策 　では最後に、ユーザーが気をつけるべき点を挙げておきたい。 　①まずはJC-STARラベルの有無と有効期間を確かめることだ。ラベルのある製品は、少なくともその期間は脆弱性に対応するとメーカーが約束している。その上で、長く使う場合は定期的にメーカーの対応を調べる必要がある。 　②次にネット機能を使い続けるのであれば、家庭のWi-Fiルーターについても、推測されにくいパスワードの設定や、ファームウェアの更新状況を確認しておきたい。家電以前に、ルーターを攻撃されては元も子もない。

　③最後に、更新が止まっても家電を利用したいなら、無線LANにつながないという選択肢もある。ネット接続機能を使わなければ乗っ取られるリスクは大きく下がるからだ。 　長期間利用する家電製品の購入時期をすべて把握している読者は多くないだろう。少なくとも、今把握できるものはリストアップし、更新情報を定期的に確認するなど、各自で対応を検討してほしい。ネットにつながる家電は、買った時点で「何年後にネットから切り離すか」まで考えて使う時代になりつつある。

東洋経済Tech×サイバーセキュリティでは、サイバー攻撃、セキュリティの最新動向、事業継続を可能にするために必要な情報をお届けしています。