Flow Neuroscience FL-100の認証バイパス脆弱性、Bluetooth範囲内の不正操作リスクと制御システム全般の対策確認

解説

医療・研究分野で使用される制御機器のセキュリティ対策に関する情報が公開されています。具体的には、フロー・ニューロサイエンス社製の脳刺激装置「FL-100」について、認証をバイパスできる共通のハードコードされた資格情報（CWE-798）による脆弱性が指摘されました。

この脆弱性は、Bluetooth通信範囲内など物理的に近くにいる攻撃者によって悪用されるリスクがあります。本来はアクセスできないはずの設定パラメータや安全制限が不正に操作されてしまう可能性があります。

ポイント

• フロー・ニューロサイエンスの脳刺激装置FL-100に、認証をバイパス可能な共通のハードコード認証情報（CWE-798）による脆弱性が判明しました。
• この脆弱性を突かれると、Bluetooth範囲内の攻撃者によりデバイスの刺激パラメータや安全制限が不正に操作される可能性があります。
• ベンダーからは最新ファームウェアへの更新を推奨しており、組織全体として制御システムネットワークの防御強化が必要です。

情シスへの影響

【FL-100デバイス管理】

• 脆弱性の性質と影響範囲: 本件は物理的な近接（Bluetooth通信可能範囲内）での操作が主な攻撃経路となるため、リモートからのサイバーアタックのみを想定した防御策では不十分です。

• 対策の焦点: 必須の緩和策は「最新ファームウェアへの更新」であり、迅速な展開計画とパッチ適用管理が必要です。

• 組織全体のリスク評価: 本件は医療・研究に用いられる制御システム（ICS/OT）におけるセキュリティリスクを示唆しています。情シス部門は、当社の業務で使用する他の制御系デバイスや社内ネットワーク接続のIoT機器群に対しても、同様のハードコード認証情報や近接攻撃経路がないかどうかの棚卸しとリスクアセスメントを実施する必要があります。

【一般的なOT/ICSセキュリティ対策】

• ネットワーク隔離: 制御システム（OT）ネットワーク全体をビジネスネットワークから物理的または論理的に分離する「ネットワークセグメンテーション」の再確認が必要です。

• リモートアクセスの管理: VPN利用時も、アクセス元デバイスや接続手順に関するセキュリティガイドラインを厳格化し、多要素認証の徹底などより高度な対策が求められます。

影響範囲

製品名：Flow Neuroscience FL-100

影響を受けるバージョン：全てのFL-100ユニット（記載されたファームウェアバージョンは要確認）

管理領域：デバイス本体設定、使用するファームウェア/固件、利用ネットワーク環境（Bluetooth、内部LAN）、ID認証システム（ハードコード情報によるバイパスが可

ユーザー層：本装置を利用する全利用者、および当該デバイスを管理する情シス部門（潜在的影響）」,

重要度

★★★★☆

対象者

• セキュリティ担当者
• ネットワーク管理者
• M365管理者
• Entra管理者

優先度

早めに対応

優先度の理由

本件は認証情報の硬直的な利用という、非常に深刻な設計上の欠陥（脆弱性）に基づいています。メーカーがファームウェア更新による緩和策を提示しているため、パッチ適用の優先度は高いですが、一般のエンドユーザー向けの通知ではなく制御システムに関する指摘であるため、「今すぐ対応」よりも「早めに対応」を選択しました。かつ、本件の技術的な問題点が他の社内OT/ICS環境にも横展開する可能性があるため、情報収集・影響範囲特定が急務です。

確認手順

• FL-100デバイスを利用している全拠点を洗い出し、該当装置のシリアル番号とファームウェアバージョンをリストアップする。
• メーカー（Flow Neuroscience）から提供される最新ファームウェアの適用可否および手順を確認し、展開計画を作成する。
• 社内で管理している全ての制御系デバイスや医療機器IoTに対し、認証情報がハードコード化されていないか、または共通パスワードを利用していないかを確認する棚卸しを実施する。
• 当該装置が接続されるネットワーク（Bluetoothレンジを含む近接環境）のアクセス制御ポリシーを再確認し、必要であればネットワークの隔離範囲を見直す。