BMWの総合テレマティクスサービス「ConnectedDrive」に、携帯電話ネットワークを介したリモート操作を可能にする脆弱性があることが、1月30日に明らかになった――。「世界のセキュリティ・ラボから」、今回はこの話題から紹介する。

　具体的には、ドアロックやエアコンなどを制御するソフトウエアにセキュリティの欠陥があり、第三者の遠隔操作によってドアロックを解除されたり、位置や速度を追跡されたり、あるいは緊急通報機能の電話番号を変更されたりするおそれがある。ドイツ自動車連盟（ADAC）の検証によって確認された。世界で220万台が影響を受けると見られる。

　BMWは1月31日、脆弱性を修正するパッチを公開した。次回ネットワーク接続時に自動でアップデートされるが、任意のタイミングでアップデートを実行することも可能。パッチの適用により、HTTPS接続を使ってデータを暗号化するなど、データ伝送のセキュリティを強化する。

　スロバキアのイーセットがブログにまとめた情報によれば、ADACは同脆弱性を2014年に発見したものの、BMWが完全に対処するまで公表を控えていたという。ADACは実験用に構築した携帯電話ネットワークからわずか数分で不正アクセスできることを確認した。しかし実際に同脆弱性が悪用された形跡はないとしている。

　インターネット接続が可能な自動車に対する脅威は、世界経済フォーラムでも指摘されている。同フォーラムの報告書には、「車の位置データを追跡することは単にプライバシーの侵害だが、車の制御システムを乗っ取ることは生命の脅威になり得る」と記されている。

　トレンドマイクロも、ブログでConnectedDriveの脆弱性について触れている。同社の場合は、独フォルクスワーゲン傘下のシュコダを例にとり、車をハッキングするシナリオを想定した。シュコダは、スマートフォンからWi-Fi経由で車の様々なデータを取得できるシステム「SmartGate」を一部モデル向けに提供している。

　SmartGateは初期設定パスワードに車両識別番号が割り当てられ、車のエンジンをかけているときだけWi-Fiネットワークに接続される。一部の国では、フロントガラスのすぐ見える場所に車両識別番号が表記されている。

　マニュアルの説明によれば、Wi-Fiネットワーク名は「SmartGate_＜車両識別番号の下6桁＞」で、SmartGateサーバーは「http://192.168.123.1/」に置かれている。サーバーに接続してWi-Fiパスワードなど各種の設定変更を行える。パスワードは車両識別番号と同様、英数字を組み合わせた8〜17文字と定められている。これらのことから、セキュリティ設定が「公開」になっていれば、パスワードなしでもSmartGateに接続できると考えられる。

　そうなると、車の持ち主がエンジンをかけてWi-Fi接続が有効になれば、第三者による車の追跡が可能になる。あるいは、オンラインの修理情報サービスに車両識別番号を入力して、車載装置の設定／構成リストを入手することもできる。

　SmartGateを利用するには別売の専用機器を取り付け、事前登録する必要がある。しかし、SmartGateを通じてストーカー行為をすることは理論上可能だと、トレンドマイクロは結論づけている。

　かつて車は完全に孤立した空間だったが、今ではGSMやIPプロトコルを通じて外部とつながるようになっている。最新モデルの車は単なるマシンではなく、スマートフォンやパソコンと同じようにオンラインにアクセスするコンピュータでもある。そのため、今後ユーザーはプライバシー保護に努め、自動車メーカーは車に対する攻撃が実際に起こる前に製品の安全確保に向けて取り組む必要があると、トレンドマイクロは呼びかけている。