コネクテッドカーの管理ツールで世界中の車両を遠隔解錠できる脆弱性
原題: Unlocking any car from X brand in most of the world
なぜ重要か
コネクテッドカーの管理基盤がWeb偵察だけで突破できる構造は、数百万台規模の車両が物理的に侵害されるリスクを示しており、業界全体のセキュリティ設計を問い直す事案だ。
セキュリティ研究者のShubs氏とSam Curry氏は2025年7月、大手自動車メーカーのコネクテッドカー基盤に重大な脆弱性を発見した。管理者向けツール「admintool.redacted-telematics.com.au」がインターネットに公開されており、JavaScriptバンドル内にハードコードされたAPIキーを用いてナンバープレートの情報のみで世界中の対象車両を遠隔解錠できる状態だったと報告している。
Shubs氏はAssetnoteの共同創業者であり、Webアプリケーションとインターネット向けインフラのセキュリティを専門とする研究者だ。自身が所有する同社のSUVをきっかけに、コネクテッドカープラットフォームの安全性に疑問を抱いたという。
調査の起点は「アプリが車を遠隔解錠する際にどのインフラと通信するか」という単純な問いだった。Shubs氏はAndroidアプリのAPKをダウンロードして逆コンパイルし、API通信先が主に「*.redacted-telematics.com.au」ドメイン配下であることを確認した。
そこからサブドメインの偵察を行ったところ、「admintool.redacted-telematics.com.au」というエンドポイントが公開状態であることが判明した。このページは「TEST HARNESS」というタイトルを持つ素朴なログイン画面を表示していたが、問題はそこではなかった。シングルページアプリケーション特有の大型JavaScriptバンドルがログイン前から丸ごと配信されており、その中にAPIキーがハードコードされていたのだ。
このAPIキーを使えば、認証なしでメールアドレスによるユーザーアカウント検索など多数の操作が可能だった。さらに致命的だったのは、ナンバープレートから車両識別番号（VIN）を取得し、そのVINを用いて実際の車両を操作できる経路が存在したことだ。オーストラリアでは各州の登録照会サービスを通じてナンバープレートからVINを合法的に調べられるため、攻撃者は標的の車両情報をほぼ入手し放題の状態だった。
Shubs氏は同管理ツールのAPIが「顧客アカウントと本番車両に対して制限がほとんどない」形で従業員向けに設計されており、それが公開インターネットから直接アクセスできる状態に置かれていたと指摘する。自動車メーカー名は現時点で非公開とされており、記事中は「the automaker」と表記されている。