2社の名前は非公表、研究者が11月7日に手口を公表

公表したのは、セキュリティー研究者のサム・カリー氏とシュバム・シャー氏だ。2人は11月7日、それぞれのブログで、車のアプリにログインする仕組みの欠陥を突き、他人のアカウントを乗っ取って車を遠隔操作できたと明かした。カリー氏はこれまでも、スバルなど複数メーカーのつながる車のサービスで欠陥を見つけ、公表してきた研究者だ。

メーカーは「自動車メーカー1」「自動車メーカー2」とだけ書かれ、社名も車種も出ていない。2社が名前を出さないよう求めたためだ。カリー氏は、ふだんなら社名を載せるよう求めるところだが、セキュリティー対応が立て込む時期に、各社がこの公表を気にして人手を割くのは避けたいと説明している。

修正は早かった。カリー氏は、報告を受けた2社が約2時間で欠陥をふさぎ、関係するパスワードなどの認証情報も入れ替えたと書く。報告した時期を「2026年の初め」とする記述がある一方、シャー氏のブログには「この7月」に共同で調べ始めたとあり、2人の説明で書き方が分かれる。

研究者の記事に、実際に悪用された被害の報告はない。シャー氏は、試したのは自分が持つ車か、持ち主から許可を得た車だけだとしており、カリー氏も持ち主の立ち会いのもとで試したと書いている。

「トヨタとレクサスでは」の見方、トヨタは肯定も否定もせず

社名が伏せられたことで、ネット上では推測が広がった。米国のIT系掲示板「Hacker News」では、シャー氏が公開した実演動画の車が話題になる。一部にぼかしが入っていたものの、ドアミラーの形や解錠したときの音から「トヨタではないか」「2社はトヨタとレクサスでは」という書き込みが相次いだ。

英IT媒体The Registerは11月9日の記事で、この見方が正しいかをトヨタ自動車に問い合わせた結果を伝えた。同社の広報担当者の答えは、肯定も否定もしないというものだった。

現時点で分かるのは、推測が出ていることと、トヨタが認めても否定してもいないことの2点だ。研究者もメーカー名を明かしておらず、トヨタやレクサスが対象だったかは確認できない。

どうやって乗っ取れたのか、2社に共通した弱点

2社に共通していたのは、顧客のログインにForgeRock（フォージロック）という認証の仕組みを使っていた点だ。ForgeRockは、利用者のIDやパスワードを管理し、本人確認を引き受ける企業向けの基盤。研究者が突いたのは、この仕組みの周りの設定や管理の甘さだった。

研究者が示した経路は、豪州向けと米国向けで分かれる。

地域	入り口になった弱点	その先でできたこと
豪州	ウェブ上のプログラムのファイルに、試験環境向けとみられる管理者の認証情報が残り、本番でも使えた	持ち主を特定し、パスワードを書き換えて乗っ取り
米国	不正な通信を防ぐ壁（WAF）を、URLの書き方の細工ですり抜けた。管理画面には初期設定のままの認証情報で入れた	サーバー上でプログラムを動かし、顧客の登録内容を書き換えて乗っ取り

豪州の例では、ナンバープレートの番号から、公開されている照会サイトで車台番号（VIN、車1台ごとに付く識別番号）を調べ、そこから持ち主のアカウントにたどり着けたという。持ち主のパスワードを当てる必要はなく、管理用の仕組みからパスワードそのものを上書きしていた。

乗っ取った後は、持ち主のアプリと同じ操作ができた。

操作	研究者の説明
ドアの解錠・施錠	実際に試し、成功
エンジンの遠隔始動・停止	実際に試し、成功
車の位置や走行データの取得	可能だった
ホーン・ハザードなど	アプリの機能として挙がるが、使える機能は車種や契約による

カリー氏のブログによると、実演では持ち主がそばに立つなか、シャー氏が遠隔でドアを開けてエンジンをかけ、止めてから鍵を閉め直した。

日本の持ち主への影響は「示されていない」

日本で同じメーカーの車に乗る人が、いちばん気になるところだろう。

研究者が挙げた地域は、豪州、米国、カナダの3か国だ。シャー氏は、この3か国の車に命令を送れたとまとめた。カリー氏は、自身が書いた米国向けの手順を最後まで試したのは米国のアカウントと車だけだとし、豪州向けの手順はシャー氏が詳しく書いている。シャー氏は、米国・カナダ・欧州の環境は豪州より守りが固かったと書いたが、欧州の車に命令を送れたとは書いていない。日本への言及はどちらのブログにもない。

カリー氏は、影響した仕組みが「複数の地域の顧客」に使われていたとも書いている。そのため、日本の車が対象外だったとも言い切れない。分かっているのは、研究者が日本について何も示していないことと、欠陥がすでに直されていることだ。

持ち主が確かめられること、トヨタのアプリの共有機能

研究者は、持ち主に向けた対策を示していない。欠陥はメーカーのサーバー側にあり、利用者が自分で防げる種類のものではなかった。

それでも、ブログの中には持ち主のアプリに関わる事実がいくつかある。シャー氏は、管理用の仕組みを使って自分たちを持ち主のアカウントの「追加ユーザー」に加えられたと書いた。カリー氏は、通知の送り先を自分たちの端末に付け替え、持ち主のスマホに通知が届かない状態にできたと説明する。メールアドレスとパスワードを変えても、持ち主のアプリのログインは切れなかったという。

アプリに登録された共有相手や、通知が普段どおり届いているかは、持ち主が自分の画面で見られる部分だ。

日本のトヨタ車では、スマホアプリ「My TOYOTA+」で、対応する車種や契約に応じてドアロックの遠隔操作やリモートエアコンなどが使える。公式サイトの案内では、1台の車の操作を最大5人まで共有でき、契約者はアプリの「共有している方の一覧」で相手を確かめ、使わなくなった人はすぐに削除するよう求めている。今回の欠陥とこのアプリの関係は、研究者もトヨタも示していない。

2社は報告から約2時間で穴をふさいだ。ただ、社名が伏せられたままの今、どのメーカーのどの車が対象だったのかという問いには、まだ答えが出ていない。

[文/構成 by ライター 飯田タツヤ]