ソフトウェア配信会社ハーネスのセキュリティ研究者、イートン・ズビアレ氏は、自動車メーカーのオンラインディーラーポータルにセキュリティ上の欠陥があり、顧客の個人情報や車両データが露出していたと発表しました。この欠陥により、ハッカーが遠隔で車両に侵入できる可能性があったということです。
ズビアレ氏は、テッククランチに対し、この欠陥により管理者アカウントを作成し、特定の自動車メーカーの中央ウェブポータルに無制限のアクセスが可能になったと述べています。このアクセスを利用すれば、悪意のあるハッカーが顧客の個人情報や財務データを閲覧したり、車両を追跡したりすることができたということです。
ズビアレ氏は、ベンダー名を公表する予定はないが、広く知られた自動車メーカーであり、いくつかの人気サブブランドを持っているとしています。
ズビアレ氏は、ディフェコンセキュリティカンファレンスでの講演に先立ち、テッククランチとのインタビューで、この欠陥がディーラーシステムのセキュリティに注目を集めたと述べました。これらのシステムは、従業員や関係者に顧客や車両情報への広範なアクセスを許可しているとしています。
ズビアレ氏は、今年初めに週末のプロジェクトとしてこの欠陥を発見したと述べています。ポータルのログインシステムのセキュリティ欠陥は見つけるのが難しかったが、一度発見すると、ログインメカニズムを完全に迂回し、新しい「全国管理者」アカウントを作成することができたということです。
この欠陥は、ポータルのログインページを開いたときにユーザーのブラウザに読み込まれるコードに問題があったため、ユーザーがコードを変更してログインセキュリティチェックを迂回できるようになっていたということです。ズビアレ氏は、自動車メーカーが過去の悪用の証拠を見つけられなかったことから、彼が最初にこれを発見し報告したと考えられると述べています。
ログインすると、アカウントは全米の1,000以上のディーラーへのアクセスを許可しました。ズビアレ氏は、ディーラーポータル内で見つけたものの一つとして、全国の消費者検索ツールがあり、ログインしたポータルユーザーが車両と運転者データを検索できると述べています。
ズビアレ氏は、現実の例として、公共の駐車場に停められていた車のフロントガラスから車両の識別番号を取得し、その番号を使用して車の所有者を特定しました。ズビアレ氏によれば、このツールは顧客の名前だけで誰かを検索することも可能だということです。
ポータルへのアクセスにより、モバイルアカウントと車両をペアリングすることも可能で、これによりアプリから車両の一部の機能を遠隔操作できるようになります。ズビアレ氏は、友人のアカウントを使用し、彼らの同意を得て実験を行ったと述べています。アカウントの所有権をズビアレ氏が管理するアカウントに移す際には、ユーザーが正当であることを証明するだけで済むということです。
ズビアレ氏は、車を運転して逃げることができるかどうかはテストしなかったが、この手法が窃盗犯によって悪用され、車両から物品を盗むために使われる可能性があると述べています。
この自動車メーカーのポータルへのアクセスのもう一つの問題点は、シングルサインオン機能を通じて他のディーラーのシステムにアクセスできることでした。ズビアレ氏は、自動車メーカーのディーラー向けシステムはすべて相互接続されており、他のシステムに簡単に移動できると述べています。
このため、ポータルには管理者が他のユーザーを「模倣」することを可能にする機能もあり、他のディーラーシステムにそのユーザーとしてアクセスすることができました。ズビアレ氏は、これは2023年に発見されたトヨタのディーラーポータルに見られる機能に似ていると述べています。
ズビアレ氏は、「これらはセキュリティの悪夢が待ち受けているようなものだ」と述べています。
ポータル内で、ズビアレ氏は個人を特定できる顧客データや一部の財務情報、レンタカーや貸出車のリアルタイム位置追跡を可能にするテレマティクスシステムを発見しました。これらの車両は全国で輸送されており、キャンセルするオプションもありましたが、ズビアレ氏は試みませんでした。
ズビアレ氏は、これらのバグは2025年2月に彼が自動車メーカーに報告した後、約1週間で修正されたと述べています。
「結論としては、たった2つのシンプルなAPIの脆弱性が扉を開け放ち、認証に関連する問題が常にあるということです。これを誤ると、すべてが崩れてしまう」とズビアレ氏は述べています。
