子守唄からインタラクティブ・ラーニングまで、テクノロジーは現代の子どもたちの生活に欠かせない存在となっています。インターネットに接続されたスマートベビーモニター、位置追跡可能なウェアラブル機器、インタラクティブ絵本などのデバイスは、子どもたちの学び方、遊び方、安全性のあり方を大きく変えています。Market Research Future¹によれば、世界のスマートトイ市場は2022年に215億5000万ドル億ドルと評価され、AIとIoTの導入が急速に進むことで、2030年には1070億ドルを超えると予測されています。
しかし、こうした普及には、セキュリティ上の懸念点も増えます。近年では、許可のないデータ収集、保護されていない通信チャンネル、悪用可能なシステム上の欠陥などにより、製造者が規制措置や評判の低下に直面する事例が報告されています。これに対して、欧州委員会は無線機器指令（RED）の適用範囲を拡大し、無線接続機器がEU市場に出る前に、基本的な安全性およびサイバーセキュリティ要件を満たすことを義務づけています。
スマートトイおよび育児機器の審査厳格化
ハッカーは育児機器を様々な目的で狙う可能性があります。例えば、機密情報の収集、音声・映像ストリームの不正傍受、あるいは侵害されたデバイスを家庭内ネットワークへの侵入口として利用するなどです。実際に報告された事例の中には、侵害されたベビーモニターを用いて家庭内の会話を盗聴したり、子どもに不適切な方法で接触したりすることもあります。
それに加えて、これらの製品は大人の監視がないまま、使用されることが多く、デバイスが侵害されても、子どもはその異常な動作に気づかない可能性があります。また、スマートトイには、使用していない間もデータを収集する受動的な録音や監視機能が組み込まれている場合も少なくありません。製品が保護者の安全や教育を支援する場合、その安全性を確実に守ることが重要です。
このような理由から、製造者には、子どもなどのユーザーの安全を確保するための、より厳格な管理措置が求められます。特にスマートトイや育児機器は、音声記録、位置情報、行動データなどを収集することが多く、クラウドサービスやモバイルアプリと接続されることもあり、これらのデータパイプラインがハッカーの狙いとなります。
そのため、接続されたおもちゃや育児機器は、REDの第3.3条の高リスクカテゴリーに分類されます。これには、音声対応の人形、位置追跡機能付きのウェアラブル、アプリと連動するナイトライトなどが含まれ、これらはデータの送信、ネットワーク上での相互通信、あるいは遠隔操作が可能です。こうした機器が侵害されると、子どものプライバシー、安全性、健康が脅かされる恐れがあります。
スマートトイに特化したREDのセキュリティ要件
2025年8月1日から遵守が求められるRED第3.3条（d）、（e）、（f）の一般要件に加えて、スマートトイおよび育児製品のメーカーはより厳格な設計および試験基準を順守する必要があります：
スマートトイおよび育児製品の製造者にとって、これはより厳しい設計および試験基準を意味します。製品は以下の条件を満たす必要があります：
- 転送中の機密データを保護するために通信を暗号化すること
- 外部デバイスとのペアリング時に認証を要求すること
- ユーザーの同意なしにリモートアクセスを防止すること
- セキュアなファームウェアアップデートをサポートし、ハードコードされた認証情報を回避すること
EN 18031シリーズ（パート1、2、3）に正式に書かれているこれらの設計要件は、接続製品のセキュリティ確保およびRED第3.3条のサイバーセキュリティ規定へのコンプライアンスに関して、市場監視当局にとっての基準としても機能する広く認知された枠組みを形成しています。
REDコンプライアンステストにおける落とし穴
スマートトイおよび育児機器のRED適合性評価における一般的な問題として、デフォルトのユーザー名とパスワードの使用、暗号化されていないHTTPプロトコルの使用、署名検証機能がないファームウェア、相互認証を欠く旧式のBluetoothペアリング手法への依存などが挙げられます。
これらの弱点は、基本的なスニッフィングツールやパケット注入攻撃によって悪用することができ、アマチュアのハッカーでも実行可能な脅威です。驚くべきことに、製造者はセキュリティの見直しを製品開発の終盤まで先送りすることがよくあります。その時点では、設計上の制約や限られた時間により、修正は困難かつ高コストになってしまいます。製品ライフサイクルの初期段階からセキュリティを考慮することで、RED認証をよりスムーズに取得できるだけでなく、長期的な耐性も強化されます。
セキュアな設計による信頼性の構築
RED第3.3条の施行が近づく中、コンプライアンスは市場アクセスを確保するだけでなく、社会でより多くのユーザーを保護するための信頼を築く方法でもあります。REDのセキュリティ要件に対応することで、製造者は規制の審査に耐える堅牢な製品を構築し、サイバーセキュリティリスクに対する高まる懸念に応えることができます。
GRLによるサイバーセキュリティテストを実施することで、リスクアセスメント、プロトコル解析、セキュリティ機能の検証、EN 18031-1/2/3に基づく指針などのRED準拠に向けたエンドツーエンドのサポートを受けることができます。ワイヤレスIoTデバイス、特に接続されたおもちゃやベビーテクノロジーに関する長年の試験経験を通じて、安全設計と認証済みの保護機能を備えた製品づくりをサポートし、競争の激しい市場で差別化を図ることが可能です。
参考文献
1. https://www.marketresearchfuture.com/reports/smart-toys-market-10813
