Mirai botnet（ミライボットネット）
2016年9月発見のIoTデバイス向けボットネット。Dyn DNS DDoS攻撃で米国主要サイト停止・$1.5T経済損失。
概要
Mirai botnet（Linux/Mirai、Sora、Owari等の派生総称）は、2016年9月に活動が初確認されたLinux系IoT（Internet of Things）デバイス標的型ボットネットで、IoT監視カメラ・家庭用ルータ・DVR（デジタル録画機）・プリンタ等をTelnetポート23のデフォルトパスワード辞書攻撃（mirai/admin/123456等の62組合わせ）で大量感染させ、世界中で60万-100万台のIoTデバイスをC&C支配下にする規模を達成した史上最大級のボットネット。2016年9月20日にセキュリティジャーナリストBrian Krebs（KrebsOnSecurity.com）が620Gbpsの超大規模DDoS攻撃を受け、Akamai社が無償保護を提供した直後にAkamaiが「経済的に維持不可能」として保護打ち切り、Krebsサイトが一時オフラインになる事件で世界に注目され、続いて2016年10月21日には米Dyn DNS（DNSプロバイダ大手）に1.2Tbps規模のDDoS攻撃を実施、米Twitter・Reddit・Spotify・Netflix・Airbnb・GitHub等の主要Webサービスが米国東海岸を中心に大規模停止、「インターネットを破壊した日」として報道された。ソースコードが2016年9月30日にハッカーフォーラムHackForumsで「Anna-senpai」（ハッカー名）により公開され、亜種・派生（Satori、Okiru、Persirai、OMG等）が爆発的に増加、現代まで継続するIoTボットネット時代の幕開けとなった。2017年12月に米FBIが制作者を特定、Paras Jha（当時20歳ニュージャージー州出身、Rutgers University学生）+Josiah White（当時19歳）+Dalton Norman（当時20歳）の3名が学生時代の悪戯から始め、Minecraft DDoS保護サービス販売事業のため開発・運用していたと判明。3名は2017年12月に司法取引で執行猶予判決を受け、後にFBIサイバー犯罪部門のコンサルタントに転身した珍しい経緯を持つ。累計経済損失推定$1.5T（IoT セキュリティ業界が試算する間接損失含む）と評価、IoT セキュリティ意識の劇的向上の起点となった重要事件。
主な特徴・仕組み
- 種類: Linux/IoTデバイス標的型ボットネット
- 初発見: 2016年9月（KrebsOnSecurity攻撃で世界注目）
- 感染方式: Telnet 23ポートデフォルトパスワード辞書攻撃（62組合わせ）
- 標的: IoTカメラ/ルータ/DVR/プリンタ（Linux ARM/MIPS）
- ピーク規模: 60万-100万台同時感染
- C&C方式: 中央集中型+IRC風コマンド
- 攻撃能力: 1.2Tbps（Dyn DDoS時）
- 主要攻撃: KrebsOnSecurity 620Gbps（2016/09/20）、Dyn DDoS 1.2Tbps（2016/10/21）
- ソース公開: 2016年9月30日、ハッカー名Anna-senpai
- 制作者: Paras Jha+Josiah White+Dalton Norman（米学生3名）
- 司法判決: 2017年12月、執行猶予+FBIコンサルタント転身
スペック比較表
| ボットネット | 出現年 | 標的 | ピーク規模 | 主要攻撃 |
|---|---|---|---|---|
| Mirai | 2016/09 | IoT (Telnet) | 60万-100万 | Dyn 1.2Tbps |
| Conficker | 2008/11 | Windows | 1,000万 | スパム配信 |
| Storm | 2007/01 | Windows | 100万 | スパム |
| Bredolab | 2009 | Windows | 30万 | スパム/配布 |
| Cutwail | 2007 | Windows | 200万 | スパム |
具体例・対応製品
- Mirai initial 2016/09: 初代、Krebs DDoS仕込み
- Mirai Dyn DDoS 2016/10/21: 1.2Tbps、米国主要サービス停止
- Mirai source code公開2016/09/30: HackForums Anna-senpai
- 派生 Satori（2017）: Huawei HG532ルータ脆弱性悪用
- 派生 Okiru（2017）: ARC CPU対応版
- 派生 Persirai（2017）: 監視カメラ標的特化
- 派生 OMG（2018）: プロキシ機能追加
- 対策 ISP DNS シンクホール: Dyn事件後業界連携
- 対策 ホームルータデフォルトパスワード変更義務化: 各国法整備
自作PCでの選び方・注意点
MiraiはLinux IoTデバイス（家庭用Wi-Fiルータ・監視カメラ・スマート家電）標的で自作PC直接の影響なし、ただし自宅ネットワーク内のIoTデバイス経由で家庭ネットワーク踏み台にされる間接リスクあり。現代のIoTセキュリティ対策として、①Telnet/SSH 23/22ポート無効化、②デフォルトパスワード即変更、③IoTデバイス専用VLAN/ゲストネットワーク隔離、④定期ファームウェア更新、⑤UPnP無効化、⑥不要なWAN露出禁止の6点が必須。各国はIoT セキュリティ法（米国SB-327カリフォルニア2020年、英国Product Security Act 2024年、日本IoTセキュリティ基準）でデフォルトパスワード義務付け禁止等を法制化しており、Mirai事件が直接的な政策影響を与えた事例。
関連用語との違い
Conficker（2008年11月、Windowsボットネット、1,000万PC）はMiraiと同じくボットネットだがWindows標的でMiraiのLinux IoT標的と対照的。Storm botnet（2007-2010年、Windows、100万PC）は世代前のWindows系ボットネット。Sasser/Blaster（2003-2004年）はワーム型でボットネット要素は限定的。現代のIoTボットネットとしてはMozi（2019年）・Echobot（2019年）・Mukashi（2020年）等多数派生。
よくある質問（FAQ）
Q1: なぜ「Mirai」（未来）という名前？ A: 制作者Paras Jha等3名が日本のアニメ「未来日記」（2011年放映）から命名と告白。「Anna-senpai」のハンドル名も日本オタク文化由来。当時20歳前後の学生がアニメ・漫画文化を反映してハンドル名を選んだことが特徴的でした。
Q2: 制作者がFBIコンサルタントに？ A: Paras Jha+Josiah White+Dalton Normanは2017年12月司法取引で執行猶予判決を受け、その後FBIサイバー犯罪部門のコンサルタントとして活動。元犯罪者の知識を活用する司法的判断で、サイバー犯罪研究の重要なケーススタディとなっています。
Q3: なぜソースコードが公開された？ A: 制作者「Anna-senpai」は2016年9月30日にHackForumsでソースコードを公開、その理由は「先見の明とInternet戦争への参加」と主張。実際は捜査の手から逃れるための足跡消去戦術で、結果としてMiraiが大量に派生・進化する契機となりました。
まとめ
- 2016年9月活動開始・Linux IoTボットネット
- Telnet 23デフォルトパスワード辞書攻撃で大量感染
- KrebsOnSecurity 620Gbps+Dyn 1.2Tbps DDoS
- 米Twitter/Reddit/Netflix等の大規模停止
- ソース公開→派生爆発・現代IoTセキュリティの起点