隠れたセキュリティ上の脆弱性により、数百万台の車が追跡・ロック解除される恐れ |Malwarebytes

あるカーアラームメーカーのコーディングミスにより、数百万台の車両が盗難や位置情報の追跡の危険にさらされている。ディーラーによるカーアラームの販売方法のせいで、影響を受けたドライバーの多くは、自分の車にカーアラームが取り付けられていることさえ知らない。

このデバイスは「KARRセキュリティシステム」と呼ばれるもので、Acrisure Protection Group社が製造したBluetooth対応のアフターマーケット用警報装置です。主に南カリフォルニアのホンダ、トヨタ、マツダ、フォード、ジープのディーラーで、販売店によって取り付けられています。

アフターマーケットのカーアラームは、自動車業界の中でも一風変わった分野だ。ディーラーは、顧客が車を見る前にあらかじめアラームを取り付け、その後でサブスクリプション契約を売り込もうとする。断っても、ハードウェアはそのまま残ってしまう。カリフォルニア大学サンディエゴ校の研究者によると、KARRシステムは米国の約220万台の車両に搭載されており、所有者の約半数はその存在すら知らないという。

コンピュータサイエンス学科のアーロン・シュルマン教授が率いる研究チームは、このシステムを調査した結果、過去10年近くにわたる導入事例のほぼすべてに、ある単一の設計上の欠陥が繰り返されていたことを突き止めた。

すべてのKARRデバイスは同じ認証キーを共有しており、そのキーはKARRのスマートフォンアプリ内に平文で保存されています。このキーを一度抽出すれば、2017年以降に製造されたKARR搭載車両ならどれとでも通信が可能になります。研究者たちはまさにその手法を用いたのです。

この攻撃が実際に何をするのか

標的となる車両から約5ヤードの距離に立つ攻撃者は、研究者らが開発した概念実証ツールを使用することで、車両のロックを解除したり、さらにはイグニッションを無効化したりすることができ、その結果、運転手が立ち往生する恐れがある。外部から見てわかる唯一の兆候は、コマンドが送信された際に聞こえる短いビープ音と、画面のちらつきだけである。所有者には何の警告も届かない。

位置追跡の問題は、おそらくさらに懸念すべき点だ。KARRの車両はBluetooth識別子を絶えず発信しているため、WiGLEのようなクラウドソーシング型の無線データベースでは、長年にわたりその位置情報が記録されてきた。デバイスの識別子をWiGLEに入力すれば、その車がどこに駐車されていたかの全体像を把握することができる。これはストーカーにとっては夢のような機能だ。研究者たちはまた、駐車中の複数の車両のクラクションやライトを同時に作動させる「メイヘム」モードの実演も行った。

有料サービスを断り、そのハードウェアが非アクティブ状態にあると想定していた所有者たちは、その認識を誤っていた。研究者らによると、休止状態の端末は、一度だけBluetoothによるウェイクアップコマンドを受け入れると、その後も同様の機能を発揮するという。

18か月、1つの学会の提出期限

カリフォルニア大学サンディエゴ校（UC San Diego）は2025年1月にこの脆弱性をAcrisure社に報告したが、ファームウェアの修正パッチが提供されたのは2026年7月20日になってからだった。これは報告からおよそ18か月後であり、同チームが来月hacker 「DEF CON」で調査結果を公表する予定だったわずか数週間前のことだった。Acrisure社は、実環境におけるリスクは低いと公に述べている。

これに対し、昨年明らかになった同様のコネクテッドカーの欠陥に対するスバルの対応を比べてみよう。研究者たちは、スバルの「スターリンク」管理ポータルから、ナンバープレートと所有者の姓またはメールアドレスさえ知っていれば、誰でも任意の車両の制御権を奪えることを突き止めた。これにより、ドアのロックを解除してエンジンを始動させたり、5メートル以内の精度で記録された1年間の位置情報履歴を詳細に調べたりすることが可能だった。

この問題の根本的な原因は、パスワード再設定用のエンドポイントのセキュリティが不十分だったことと、二要素認証（2FA）の迂回に対する防御が脆弱だったことでした。スバルは24時間以内にこれらの問題を修正しました。

この修正は、対象者の半数には届かない

ここで厄介なのは、このパッチがKARRコンパニオンアプリを通じて配信されるという点だ。このアプリをダウンロードするのは、有料ユーザーに限られる。研究者らの推定によると、このデバイスを搭載している車の所有者の少なくとも半数は、自らそれを希望したわけではない。つまり、彼らがアプリを起動したり、ファームウェアを更新したりする可能性はほとんどないということだ。およそ100万人の人々は、その存在すら知らないものに対してパッチを適用することはできません。これには、中古市場でKARR搭載車を購入した可能性のある多くの人々も含まれます。

車の点検方法

運転席側の窓に「KARR」のステッカー、あるいは「SWDS」（SouthWest Dealer Services、Acrisureの子会社）と書かれたステッカーがないか確認してください。その後、『Wired』誌によると、ダッシュボードの下側に、ライトが点滅する小さなボタンがないか確認してください。もし見つかった場合は、KARRアプリをダウンロードしてファームウェアのアップデートを適用してください。たとえ当初、この警報システムに意識的に登録した覚えがなくても、同様に対応してください。

脅威を報告するだけでなく、取り除く

サイバーセキュリティのリスクは、ヘッドラインを超えて広がるべきではありません。今すぐMalwarebytes ダウンロードして、デバイスに脅威を持ち込まないようにしましょう。