インターネットに接続された自動車が登場して以来、ハッカーたちはそのシステムへの侵入を試み続けてきました。 何人かは成功しました。 そして、その数は増え続けています。
2010年、カリフォルニア大学サンディエゴ校とワシントン大学の研究者たちは、ハッカーが を通じて、 2009 年式シボレー・インパラ の車載安全システム「OnStar」を介してアクセス権を取得できることを実証しました。 車内に入ると、彼らはブレーキを操作したり、車内の会話を盗み聞きしたりすることができました。
5年後、セキュリティ研究者のチャーリー・ミラー氏とクリス・ヴァラセック氏は、遠隔操作により 、 2014 年式ジープ・チェロキー を乗っ取り、、『Wired』誌 の記者アンディ・グリーンバーグ氏が運転席に座っていました。 車の携帯電話通信の脆弱性を悪用することで、彼らは 10 マイル離れた場所からエンジンを停止させ、ブレーキを効かなくし、ステアリングを乗っ取ることができました。 (Chrysler later issued a recall for 1.4 million vehicles containing the flaw.)
そして 2021年の後半、19歳の研究者デビッド・コロンボ氏（ ）が、ドイツのミュンヘンにある自宅から、 13 カ国に所在する20台以上のテスラ車（ ）に不正アクセスを行いました。 彼は、ドアの施錠・解錠、照明、室温を制御できるだけでなく、車の位置情報や所有者のメールアドレスも把握することができました。
ジープのハッキング事件は、自動車メーカーや自動車部品メーカーにとって深刻な警鐘となり、それ以来、各社はサイバーセキュリティをより真剣に受け止めるようになりました。 「車載の重要システムに関しては、『 2015』の頃から大きく進歩しました」と、自動車部品サプライヤーがセキュリティ上の脆弱性を特定し、そのリスクを軽減できるよう支援しているGRIMM社のCEO、ジェニファー・ティスデール氏は述べています。 「まだ道のりは長いのでしょうか？」 「もちろんです。」
ティスデール氏が抱く大きな疑問は、長期的な安全性に関するものです。車両が販売店を出て、何年も一般道路を走行し続けた後、どうなるのでしょうか？ 脆弱性が確認された場合、自動車メーカーは速やかに のソフトウェアパッチをリリースするのでしょうか？? そして、個人や企業は、パソコン
や携帯電話の場合よりも、自動車のソフトウェア更新をより適切に行えるようになるのでしょうか？
「それについては、まだ答えが出ていません」と彼女は警告します。
自動車へのハッキングの脅威は、すべての人に影響を及ぼしますが、とりわけ商用車の運営事業者にとっては深刻な問題です。彼らの車両群が人質に取られ、稼働停止による損失や、 のような身代金支払いで数百万の損失を被る恐れがあるからです。。 あるいは、さらに悪いことに、敵対者が社用車を乗っ取り、それを武器として利用することで、企業の評判や人命さえも危険にさらす可能性があります。
自動車業界におけるサイバー攻撃のリスクが高まっていることについて、事業主の皆様が知っておくべきことをご紹介します。
ブラックハットによる攻撃
これまで、産業界の側に立つセキュリティ研究者や、いわゆるホワイトハットハッカーたちが、自動車のサイバーセキュリティ上の脆弱性のほとんどを発見してきました。 しかし、その状況は変わりつつあります。
「ハッカーたちは、車両群に対するランサムウェア攻撃であれ、機密データの窃取であれ、金銭的な利益が得られる分野に目を向けています。」
Upstream Securityが毎年発行している「 グローバル自動車サイバーセキュリティレポート」（）によると、 2021年には、既知の自動車向け攻撃 240 件のうち、悪意のある攻撃者によるものが57％近くに上りました。 これは、 2020になる前の 50％弱から上昇したものです。
報告書によると、 2021 で発生した事案には次のような特徴が見られました：
- の85％は、車両へのリモートアクセスが関与していました。
- 40% は、コネクテッドカーと通信するサーバーにおけるデータ漏洩でした。
- 24% は、多くの場合モバイルアプリを通じて、自動車の重要なシステムを遠隔操作しました。 （テスラのハッカーであるコロンボ氏は、サードパーティ製アプリ「TeslaMate」を介してアクセス権を取得しました。）
“Hackers are looking at areas where there is money to be gained, whether that’s ransomware attacks on fleets or stealing sensitive data, such as customer billing details from hacked EV charging stations,” says Guy Molho, vice president of products at Upstream, whose security technology is installed in more than 10 million vehicles worldwide. 「大まかなルールは単純です――彼らは、できるだけ高い報酬を得ることに注力するのです。」
ティスデール氏によると、車両群に対するランサムウェア攻撃は、GRIMMの研究者たちにとって最大の懸念事項であるとのことです。 ここ数年、運送会社に対する攻撃はすでに複数回発生していますが、そのほとんどはバックオフィスの車両管理システムを標的としたものでした。 While no direct attacks on vehicles have been reported, they’re a key concern of the nearly $800 billion U.S. trucking industry.
広大なサイバー攻撃対象領域
インターネットに接続された自動運転車は、そのソフトウェアシステムの極めて高い複雑さゆえに、特に悪用されやすい傾向にあります。
現代の自動車には、 40 個から150 個の電子制御ユニット（ECU） が搭載されています。これらはコンピュータチップであり、車内の温度から、前方を走る18輪トラックが突然急ブレーキをかけた際の自動ブレーキ機能に至るまで、あらゆるものを制御しています。 The software running on these ECUs consists
of more than 100 million lines of code—many times more code than what’s found in the U.S. Air Force’s F-35 Joint Strike Fighter, for example.
車両もまた、データが豊富な標的です。 コネクテッドカーや自動運転車は、膨大な量のデータを生成します。 （推定値は、1日あたり 300 ギガバイトから32 テラバイトの範囲です。） これは、ドライバーの位置情報、運転習慣、請求詳細、および車両の性能に関する情報が詰まった「 」の宝庫であり（ ）、攻撃者はこれを利用して、企業や著名人を脅迫したり、恥をかかせたりする可能性があります。
[関連記事：専門家が提唱する、組織の「至宝」とも言えるデータを保護するための 5 のステップ]
CybellumのCEO兼共同創業者であるスラヴァ・ブロンフマン氏は、攻撃に対して最も脆弱な車両は、キーフォブ、テレマティクス、エンターテインメントシステム、サードパーティ製アプリなどの外部インターフェースを備えているものだと指摘しています。 同社のプラットフォームにより、自動車部品サプライヤーは、自動車やその構成部品の仮想シミュレーションである「デジタルツイン」を作成することができ、初期設計段階から車両のライフサイクル全体にわたって、その脆弱性を洗い出すことが可能になります。
GRIMM社のティスデール氏は、悪意のある攻撃者は、防御策が最も少ない車両を標的にしようとすると付け加えています。 2015では、それは車やトラックそのものでした。 今日では、車両が稼働する環境全体が重要となっています。これには、車両が通信を行うサーバー、衛星、携帯電話基地局に加え、 のスマート信号機、道路に埋め込まれたセンサー、 の充電ステーション といったインフラも含まれます。
規制を行うべき時です
コンピュータ業界は、セキュリティ上の脅威を特定し、その影響を軽減するためには情報共有が不可欠であることを、比較的早い段階で認識していました。 だからこそ、米国コンピュータ緊急対応チーム（US-CERT）が設立され、Mitreの が提供する「共通脆弱性および露出（CVE）」リスト（ ）のようなデータベースが存在するのです。
「これらの技術には数十億が投資されており、もう後戻りはできません。」GRIMMのCEO、ジェニファー・ティスデール
自動車メーカーや部品メーカーは、従来から競合他社との情報共有を嫌ってきました。 2015 年、業界が自動車情報共有・分析センター（Auto-ISAC）を設立したことをきっかけに、状況に変化が見られ始めました。 それでも、ティスデール氏によれば、セキュリティ上の脆弱性は依然として業界の多くの人々にとってデリケートな話題であるとのことです。
しかし、国連欧州経済委員会（UNECE）による新たな規制により、自動車メーカーはサイバーセキュリティ対策を強化せざるを得なくなっています。 コンサルティング会社フロスト＆サリバンのコネクテッドカーおよび自動車用IoT（モノのインターネット）担当コンサルティング・ディレクター、ニランジャン・マノハル氏は、この規制により、 2022 年に販売されるすべての新型車種および2024年以降に新規登録されるすべての車両に対し、サイバーセキュリティ に関する性能および監査要件 が定められると述べています。 米国はUNECEの 54 の加盟国には含まれていませんが、米国の自動車メーカーであるは、加盟国で自動車を販売したい場合、同機関の規則（ ）を遵守する必要があります。
ブロンフマン氏は、規制の導入は大きな一歩であるとしつつも、まだやるべきことは残っていると述べています。 「OEM（相手先ブランド製造業者）やサプライヤーは、コンプライアンスへの取り組みを始めてはいますが、依然として、それはサイバー攻撃から車両を完全に防御するための手段というよりは、単に満たすべき要件として捉えられていることが多いのです」と彼は付け加えます。
[関連記事：グローバルな業界リーダーであるカミンズ社が、「サイバー・ハイジーン」という2つの言葉でコンプライアンスの負担を軽減している方法]
「簡単ではないでしょう」とマノハル氏は警告しています。 「技術的な専門知識が限られていることや、新しいプロセスの導入に伴う莫大な初期費用が、OEM各社にとって社内での導入を困難にするでしょう」と彼は述べています。 その結果、大手自動車メーカーやサプライヤーは、GRIMM、Upstream、Cybellumなどのセキュリティ企業と提携を進めています。
賢くなるには、バカになるべきなのでしょうか？
フロスト＆サリバン社は、 2025 年に生産ラインから出荷される自動車の86％ がインターネットに接続されると予測しています。 また、ここ数年で販売されたほぼすべての車には、 のような何らかの自動運転支援技術 が搭載されており、アダプティブ・クルーズ・コントロールやハンズフリー・ステアリングなど、これらが攻撃の標的となる可能性があります。
もしまだコネクテッドカーや半自動運転の乗用車・トラックをご利用でないとしても、近いうちにご利用になるかもしれません。 しかし、それらを保護するための手段はごく限られています。移動中のiPhoneを保護するための独自のソフトウェアをダウンロードすることはできず、ログオフすることもできません。
マノハル氏によると、自動車メーカーは今後も、セキュリティやその他の社内向けソフトウェアのアップデートを提供し続けるとのことです。 しかし、これらのアップデートはどれほど安全なのでしょうか？ 各社は、 のファームウェア・オーバー・ザ・エア（FOTA）による への完全なアップデートを実施できるのでしょうか？ 消費者は、あるいは企業の従業員は、パソコンの場合によくあるように、悪意のあるアップデートを誤って受け入れてしまうことになるのでしょうか？ これらは、自動車メーカーやサプライヤーが依然として解決すべき課題であると、同氏は述べています。
コネクテッド・フリートを所有または運用する企業は、他のデジタル資産と同様に、あるいはそれ以上の水準で、 サイバー衛生管理 および パッチ管理 の方針を策定し、新たな脅威 が発生した際には、 を通じて注意深く監視し続ける必要があります。
[関連記事：脅威ハンティングチームは今や不可欠です――チームを構築する方法をご紹介します]
アップストリーム社のモルホ氏は、将来、消費者や企業が乗用車やトラックの購入判断を行う際、セキュリティ機能をその一因として考慮するようになり、それによってメーカーは対応を迫られるだろうと考えています。 ブロンフマン氏は、自動車業界に対し、米国道路交通安全局（NHTSA）の「 」安全評価（）と同様のサイバーセキュリティ評価制度を導入するよう提言しています。
それまでは、企業や消費者は、自分たちを守るためにできる限りのことを行う必要があります。
「ハッカー界隈には、『賢いのはバカげている』という格言があります」とティスデール氏は言います。 「今や、スマートカーやスマートシティ、そして高度道路交通システムが登場しています。」 これらの技術には数十億が投資されており、もはや後戻りはできません。 そこで、次のような疑問が生じます。「どうすれば、皆で協力して安全を確保できるのでしょうか？」
