「GitHub」にトヨタがソースコード誤公開　問われる“つながる車”の安全性

トヨタ自動車のコネクテッドサービス「T-Connect」のソースコードが公開状態になり、ユーザーの個人情報が漏えいした可能性があることが発覚した。何があったのか。

公開 2022年11月04日 05時01分

著者

Alex Scroxton

[TechTarget]

印刷する連載新着通知を受け取る

　トヨタ自動車とIT子会社のトヨタコネクティッドは2022年10月7日、自動車に通信機能を持たせたコネクテッドサービス「T-Connect」の契約者の個人情報約30万件が漏えいした可能性があると発表した。何が原因だったのか。

ソースコード公開のミスに5年間気付かず　ユーザーへの影響は

併せて読みたいお薦め記事

ソースコードを巡るセキュリティリスクとは

　T-Connectは自動車をインターネットに接続し、ユーザーがスマートフォンを使って目的地検索やルート設定、駐車位置の確認、ドライブ診断ができるようにするサービスだ。

　トヨタ自動車によると、2017年7月以降にT-Connectに登録したユーザーが、この情報漏えいの影響を受けた。漏えいした可能性がある個人情報はメールアドレスと、T-Connectの運用管理に使われる「お客様管理番号」だ。氏名、電話番号、クレジットカード番号といった情報は漏えいしていないと同社は説明する。

　原因は何だったのか。トヨタ自動車は、T-ConnectのWebサイトの開発委託先企業が取り扱い規則に反し、ソースコードの一部を誤って公開設定のままソースコード共有サービス「GitHub」へアップロードしたと説明している。2017年12月から2022年9月15日まで、第三者がGitHubにあるソースコードの一部にアクセス可能な状態になっていたという。

　トヨタ自動車によれば、公開されていたソースコードには、データベースサーバへのアクセスキーが含まれている。攻撃者がそれを利用すれば、データベースサーバに保管されているメールアドレスとお客様管理番号にアクセスできるということだ。

　2022年9月15日にトヨタ自動車はソースコードを非公開化し、同月17日にはデータベースサーバのアクセスキーの変更も実施した。同社は2022年10月7日から、個人情報が漏えいした可能性のあるユーザーに「おわびとお知らせ」を送付。それによると、データベースサーバのアクセス履歴からは、同社は第三者によるメールアドレスとお客様管理番号へのアクセスを確認していないが、完全に否定することもできない。現時点で、この事件による個人情報の不正利用は確認していないという。

　後編は、今回のセキュリティ事件に関する専門家の見解を紹介する。

Computer Weekly発　世界に学ぶIT導入・活用術

米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。

印刷する

Computer Weekly発　世界に学ぶIT導入・活用術

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

Alex Scroxton

米TechTargetの電子週刊誌『Computer Weekly』でセキュリティ分野の記事編集を手掛ける。同社の電子月刊誌『MicroScope』で記者を務めた後、2014年5月からComputer Weeklyの編集に従事。2003年、サセックス大学（University of Sussex）で社会人類学の学士号を取得している。