第III部：スロットマシンにおける不正行為 · Electronic & Digital Cheating Methods · #6.27
IoT機器を足掛かりとするピボット攻撃（IoT Device Pivot Attack）
仕組み
カジノでは、スマート・サーモスタット、ネットワーク接続された照明、デジタルサイネージ、環境センサー、スマート水槽といったモノのインターネット（IoT）機器の導入が進んでおり、重要なゲーミング・システムと同じネットワーク上に置かれていることが多い。攻撃者は、セキュリティ対策が不十分であることが多いこれらのIoT機器の脆弱性を悪用して最初の足掛かりを得た後、ネットワーク内を横方向に「ピボット」してゲーミング・システムに到達する。2017年の有名な事件では、ハッカーがインターネットに接続された水槽の温度計を経由して北米のカジノのネットワークに侵入し、最終的にハイローラーの顧客データ10 GBを抜き取った。ゲーミング・システムを狙った同様の攻撃であれば、スロットマシン、CMSサーバーまたはプログレッシブ・コントローラーに到達する可能性がある。IoT機器は、脆弱な初期設定パスワード、未修正のファームウェア、暗号化の欠如といった問題を抱えていることが多く、理想的な侵入口となる。
発生する場面
IoT機器がゲーミング・システムとインフラを共有しているあらゆるカジノのネットワーク。潜在的な標的には、CMS、スロットマシン、プレイヤーのデータベース、プログレッシブ・コントローラー及び財務システムが含まれる
記録に残る事実
2017年、Darktraceは、インターネットに接続された水槽の温度計から始まった北米のカジノにおける侵害事件を報告した。この水槽には、温度、塩分濃度及び給餌を調整するためにPCに接続されたセンサーが備わっていた。ハッカーはこれを侵入口として利用し、ネットワーク内を横移動して、10 GBのデータをフィンランドにある機器へ抜き取った。この攻撃は、従来とは異なる機器を標的とすることで、従来型のセキュリティ・ツールを回避した。
検知と防止助言
有料の後半部分監視ルームがiot device pivot attackをどのように見抜くか、そして再発をどう防ぐか。読み物としてではなく、監視デスクの実務向けに記述しています。
サーベイランス、コンプライアンス、ゲーミング業務の専門家のための検知用の参考資料として公開しています。しきい値と調整は各施設が設定します。ここに記載する内容は手順書ではありません。手口は、認識できるようにするために記述しています。