車のドアが遠隔で開いた　自動車メーカーの認証基盤に見つかった脆弱性と、抜かれ続ける車両データ

認証基盤の設定ミスで、ドアが開きエンジンがかかった

報告したのは Shubham Shah 氏と Sam Curry 氏。前者はセキュリティ企業 Assetnote の共同創業者で、二人は過去にも複数メーカーの不備を公表してきた。問題の中心は車両ではない。スマートフォンアプリのログインを処理する認証基盤、具体的には ForgeRock のアイデンティティ管理製品の設定だった。

米国向けの経路はこうだ。入口の防御機構と奥のサーバーで、同じアドレスの解釈がずれていた。研究者は区切り文字を細工した要求を送り、画像などの静的ファイルを装って管理画面に到達する。そこにあった管理コンソールは、マニュアルに載っている初期設定の管理者パスワードをそのまま受け付けた。

ここから先は一直線だ。設定機能を使ってサーバー上で任意のコードを実行（RCE、リモートコード実行）し、顧客レコードを読み書きできた。利用者のメールアドレスとパスワードを書き換え、本人としてログインし、純正アプリと同じ権限で車両に命令を出せる。

豪州向けの経路はもっと簡単だった。ナンバープレートから VIN（車台番号）を引き、契約者の識別子にたどり着く。管理者の資格情報は、ログイン画面が配信する JavaScript のファイルに埋め込まれていた。検証用のはずの資格情報が本番でも通り、MFA（多要素認証）も古い認証方式を使うことで迂回できたという。

研究者は所有者の立ち会いのもとで、自分たちの車両を解錠し、エンジンを始動・停止させ、再び施錠するまで実演している。通知先の端末トークンを差し替えれば、所有者に通知を届かせないことも可能だった。

車の情報は、すでに「どこか」へ流れている

今回は侵入の話だが、平時の流れのほうが規模は大きい。2026年9月29日、Northeastern 大学と Consumer Reports の研究チームが、21台の車と30本の純正アプリの通信を実測した結果を公表した。

• 21台のうち19台が、無線通信経由で少なくとも一つの外部事業者と通信していた
• 30本のうち7本が、車台番号、メールアドレス、精密な位置情報を広告・分析系の事業者へ送っていた
• 送信先にはデータブローカーの Acxiom や分析事業者の Adobe が含まれる
• 車単体では外部と通信しない車種でも、純正アプリを入れると送信先が一気に増える

該当した7本のうち4本はゼネラルモーターズ系のブランドで、ほかにリンカーンのアプリが入っている。

残る2本は日産とホンダ。後者は収集方法を見直し、送信先の事業者に位置情報の削除を要請したと説明されている。

2023年には Mozilla 財団が25ブランドのプライバシー方針を調べ、全ブランドが同団体の最低基準を満たさなかったとした。76パーセントが個人データを販売できると明記しており、車は「これまで審査した製品分類で最悪」と評された。

無料のサービスと引き換えに、何を渡しているのか

典型例が、ゼネラルモーターズの通信サービスに付いていた運転診断機能だ。急ブレーキ、急加速、速度といった運転の記録が、データブローカー2社を経由して保険会社に渡っていた。

中継していたのは LexisNexis と Verisk である。保険料が倍になった人、7社から加入を断られた人が現れ、集団訴訟に発展した。運営元は2024年4月に機能を終了して提携を打ち切り、米連邦取引委員会との同意命令にも至った。登録した覚えがないという訴えも多かった。

便利な機能はタダではない。緊急通報、遠隔エアコン、盗難時の位置特定の対価は、現金ではなく走行の記録そのものだ。しかも受け取る側は一社ではない。メーカー、通信事業者、地図や音楽の提供元、広告の計測事業者、そして保険。関わる会社が増えるほど、どこか一社の設定ミスで全部が外に出る確率は上がる。

中国の車と、中国市場の車

中国では、制度として車両データが政府側に流れる。2016年の国家規格により、電気自動車はセンサーの情報をメーカーへ送り、メーカーはそこから61項目以上を政府系の監視センターへ転送する。対象は中国で電気自動車を売る200社以上で、テスラやフォルクスワーゲンといった外資も含まれる。上海の監視センターは、市内を走る車両の位置を実時間で地図に表示できる。当初メーカー側は抵抗したが、データ送信が補助金の条件とされた。

流出の実例もある。2022年12月、電気自動車メーカーの NIO が、2021年8月以前の利用者情報と販売情報を盗まれたと公表した。攻撃者は225万ドル相当の暗号資産を要求したが同社は拒否し、データはその後売りに出された。内容には従業員2万2800件、所有者の本人確認情報3万9900件、利用者の住所65万件が含まれるとされる。

懸念の根っこは、個々の欠陥ではなく法制度にある。中国の国家情報法は、すべての組織と市民に情報活動への協力を義務づけている。データを握る会社が中国法の下にある限り、契約で縛っても限界があるという見方だ。

ただし、日本に住む我々にとって重要なのは、これが中国車だけの問題ではないという点だ。今回の脆弱（ぜいじゃく）性は日本メーカーの可能性が指摘されている件であり、仕組みはどのメーカーでも大差ない。違うのは、データが誰の法律の下に置かれるかである。

遠隔で解錠できることの、本当の危険

• 物理的な破壊が伴わない。窓が割れていなければ、盗難や車上荒らしの立証が難しくなる
• 起点がナンバープレートでよい経路があった。駐車場で一枚撮れば足りるということだ
• 位置情報を実時間で見られれば、持ち主が今家にいるかどうかまでわかる
• エンジンの始動まで通れば、車両そのものを持ち去る手口に直結する
• 認証基盤を押さえられると被害が一台で止まらない。ブランド全体が同じ入口を共有している

車の盗難でよく語られる鍵のこじ開けや電波の中継は、対象の車に近づく必要がある。認証基盤の乗っ取りはその前提を壊す。攻撃者は地球の裏側にいてよく、台数の上限もない。一箇所の失敗が全体に波及しない設計、つまり障害の切り分けが効いていなかった。

情報が漏れたとき、何を失うのか

日本にも具体例がある。2023年5月、トヨタは委託先のクラウド環境の設定誤りにより、約215万人分の車載端末の識別番号、車台番号、位置情報、時刻が10年近く外部から閲覧できる状態だったと公表した。同月末には国内で約26万人分の追加と、アジアやオセアニアでの氏名・住所の露出も判明し、7月には対象約230万人として個人情報保護委員会から指導を受けている。

車台番号と位置情報だけでは個人は特定できないという説明は、単体では正しい。問題は、車台番号が車検証、保険、販売店の顧客台帳、部品の発注履歴に共通して現れる名寄せの鍵である点だ。他の流出データと突き合わせれば持ち主に結びつく。位置情報もまた、履歴になると性格が変わる。毎晩止まる場所が自宅、平日の昼が職場、定期的に通う先が病院だと推測できる。豪州向けの報告では、パスワードや暗証番号のハッシュ値まで取得できたとされている。

対策は不可能なのか

今回の件に限れば、利用者側にできたことは何もない。初期設定の管理者パスワードが残っていたのはメーカーのサーバーであり、所有者の操作で防げる話ではない。ただし、渡す情報の量とアカウントの守りは自分で決められる。

• 純正アプリと車両の設定画面で、データ共有の項目を一つずつ確認する。運転診断や広告向けの共有は切れる場合が多い
• アカウントのパスワードを使い回さない。多要素認証が用意されていれば有効にする
• 売却、返却、リース終了のときに、アカウントと車両の連携を解除する。中古で買ったときは、前の所有者の登録が残っていないか確認する
• アプリに与えた位置情報や連絡先の権限を見直す
• サービスを解約するという選択もある。ただし緊急通報、遠隔での位置特定、無線経由の更新も同時に失う

メーカーと制度の側で必要なことは、技術的にはむしろ単純だ。初期設定の資格情報を本番に残さない。検証環境の資格情報が本番で通らないようにする。入口の防御機構を唯一の防壁として頼らない。権限は最小限にし、誰が何にアクセスしたかの記録を残す。どれも新しい話ではなく、金融系のシステムでは当たり前に要求される水準だ。

制度面では、車両のサイバーセキュリティと更新管理を求める国際基準が2021年から順次適用され、欧州では2027年後半にサイバーレジリエンス法の要件が加わる。中国も2024年に自前の規格を整えた。ただし基準があることと現場の設定が守られていることは別問題だ、という現実が今回示された。

参考。Sam Curry 氏と Shubham Shah 氏の報告、Northeastern 大学と Consumer Reports の共同研究、各社の公表資料と各国の報道。