自動車ハッキング、脆弱性は減少も標的はアプリとクラウドへ

自動車ソフトウェアの既知の脆弱性は2019年以降減少している。しかし、イェーテボリ大学とチャルマース工科大学の研究チームは、安心できる状況ではないと指摘する。攻撃の入り口の性質が変わったためだ。

研究チームは2022〜2024年だけで413件の脆弱性を確認した。多く見えるが、以前の調査では2019年単年で363件が記録されていた。

車外のサービスが狙われる

筆頭著者のスリジタ・バス氏は、10年前は脆弱性の大半が車載システムで見つかっていたと説明する。現在はアプリ、ウェブサイト、クラウドサービスで見つかる割合がほぼ3倍に増えたという。こうしたデータからは、自宅、勤務先、趣味、子どもの学校などの個人情報が読み取れる場合がある。2024年にはVolkswagenでも同様の事例があった。

論文によると、従来は重要度が低いとされたインフォテインメントやテレマティクスが、車内の機微なネットワークへの橋渡しになることが多い。原因の多くはサードパーティ製ソフトだ。2015年のJeep Cherokeeのハッキングでは、研究者がインフォテインメント経由でブレーキ、アクセル、ドアロックを遠隔操作した。

バス氏は、設置後に一度も変更されていないパスワードなど、基本的な欠陥に驚いたと述べる。最も脆弱だった製品はオープンソースのGrafanaで、主な攻撃手法はSQLインジェクションとクロスサイトスクリプティングだった。ingenieur.deの指摘では、根本的な問題は認可チェックの欠如にある。ログインは本人確認にすぎず、その人物が当該車両の機能を使ってよいかは確認されていない。

今後の課題

動画配信や充電スタンドとの通信など車の接続が進むほど、攻撃対象は広がる。バス氏は、同種の脆弱性が長年知られているウェブやIT業界から学ぶよう自動車メーカーに求める。ドライバーには、強力なパスワードの使用と定期的なソフトウェア更新を勧めている。