コンピュータ化が進む現代の自動車。これを調査した結果、深刻な脆弱性が多数発見された。Wi-FiやBluetooth経由で車載ネットワークやECUが乗っ取られる可能性もあるという。
大手メーカーの自動車で見つかったサイバー脆弱（ぜいじゃく）性の半数は、標的にした自動車を攻撃者が完全にコントロールまたは一部コントロールできるほどのものであることが調査によって明らかになった。
本記事は、プレミアムコンテンツ「Computer Weekly日本語版 10月5日号」（PDF）掲載記事の抄訳版です。本記事の全文は、同プレミアムコンテンツで読むことができます。
なお、同コンテンツのEPUB版およびKindle（MOBI）版も提供しています。
サイバーセキュリティを扱う企業IOActiveが実施した調査によると、見つかった脆弱性のおよそ4分の3は簡単に悪用できるか、ほぼ確実に悪用できるものだという。
この調査は、実際のセキュリティ評価と3年分のデータ、今も存在する脆弱性に基づいている。調査の詳細は、同社の「Commonalities in Vehicle Vulnerabilities」というホワイトペーパーにまとめられている。
このホワイトペーパーには、一般的な問題についての分析やコネクテッドカーが直面するサイバーセキュリティの問題について考え得る解決策などが記載されている。また、2013年以降、IOActiveの自動車サイバーセキュリティ部門が実施し、実際の自家用車のセキュリティを評価したメタデータ分析も記載されている。
IOActiveによれば、このホワイトペーパーは1万6000人/時分の共同研究とサービスから得た洞察と、公的に利用可能な研究から集めた洞察を組み合わせたものだという。
このホワイトペーパーの重要な発見の1つは、明らかになった脆弱性の50％が「致命的」と考えられる点にある。また、自動車に及ぼす影響や規制違反の可能性から、「衝撃が大きい」ともいえる。この「衝撃が大きい」発見によって、部品、通信、データへの侵害が引き起こされ、自動車のコントロールが完全に、または一部失われる恐れもある。
脆弱性の71％は、その脆弱性が現れる可能性が「中」以上に分類されている。
運がよければ、攻撃者があまり苦労しないで悪用できるという程度で済むかもしれないが、最悪の場合はほぼ確実に悪用され、その脆弱性と悪用方法についての知識が周知のものになってしまうことを意味する。
ホワイトペーパーでは、脆弱性の影響と確率を合わせて、「脆弱性の22％は致命的な状態にある。つまり、その脆弱性は特定や悪用が容易で、自動車に大きな被害を与える恐れがある」と述べられている。
また、調査では脆弱性の27％がCAN（Controller Area Network）のアクセス権を得るために利用でき、攻撃者が攻撃に成功すれば自動車自体もコントロールできることが明らかになった。
さらに、脆弱性の8％はエンジンコントロールユニット（ECU）を支配でき、1％はECUを停止させることもできる。こうなると、攻撃者は通常機能の全てを含むあらゆる要素をコントロールできるだけでなく、ECUに機能を追加できる可能性もある。
脆弱性の55％はネットワークに関係する。これにはイーサネット、Web、モバイル、セルラー方式など、全てのネットワークトラフィックが含まれる。
この調査によれば、攻撃者が標的にする可能性が最も高いのは、セルラー方式の無線機、Bluetooth、車両間（V2V：Vehicle to Vehicle）無線、車載診断装置、Wi-Fi、インフォテインメントメディア、ZigBee無線、コンパニオンアプリなど、データが自動車に入り込む部分だという。
本記事は抄訳版です。全文は、以下でダウンロード（無料）できます。
■Computer Weekly日本語版 最近のバックナンバー
Computer Weekly日本語版 9月20日号 本気を出したGoogleはAWSに勝てるのか？
Computer Weekly日本語版 9月7日号 Microsoft対米国政府──判決は？
Computer Weekly日本語版 8月24日号 それでもAzureを選ぶべき理由
Copyright © ITmedia, Inc. All Rights Reserved.
クラウドセキュリティ運用の大きな課題になっているのが、増え続けるセキュリティアラートに優先度を設定することだ。各環境によって最重要課題は異なるため、環境に合わせて優先度を設定することが必要になる。その実現方法とは？
サイバーセキュリティではまず、攻撃サーフェスへの対策が重要だが、近年はリモートワークやクラウドの普及により、攻撃サーフェスも拡大している。しかも、サプライチェーン攻撃の増加により、中小企業でも対策は待ったなしの状況だ。
中小企業は、予算や人材の問題からセキュリティが脆弱になっているケースが多い。そのためサイバー攻撃者から“侵入しやすい標的”と認識されている。このような状況を改善するためには、インシデント対応を強化することが重要だ。
サイバー脅威の高度化に伴い、セキュリティ対策の必要性が高まっているが、具体的に何から着手すればよいのか迷う企業も多い。そこで本資料では、サイバーセキュリティの体制を整備するに当たって重要となる点を解説する。
サービスアカウントによる特権アクセスの管理に頭を悩ませるセキュリティ担当者は少なくないだろう。重要なシステムやデータを守るには、こうした特権アクセスを適切に管理し、アカウントを保護することが求められる。
お知らせ
米国TechTarget Inc.とInforma Techデジタル事業が業務提携したことが発表されました。TechTargetジャパンは従来どおり、アイティメディア（株）が運営を継続します。これからも日本企業のIT選定に役立つ情報を提供してまいります。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年4月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
Cookieを超える「マルチリターゲティング」 広告効果に及ぼす影響は？
Cookieレスの課題解決の鍵となる「マルチリターゲティング」を題材に、AI技術によるROI向...
「マーケティングオートメーション」 国内売れ筋TOP10（2025年4月）
今週は、マーケティングオートメーション（MA）ツールの売れ筋TOP10を紹介します。
ITmediaはアイティメディア株式会社の登録商標です。
