この音声は自動生成されています。ご意見があればお知らせください。
新たに公開された列車のブレーキシステムの脆弱性により、ハッカーが比較的簡単かつ安価なハードウェアを使って遠隔で列車を停止させることが可能となり、脱線を引き起こす可能性があります。
この重大な脆弱性は、CVE-2025-1727として追跡されており、列車の最後尾装置と先頭装置に送信されるパケット、すなわち列車の最後尾装置に停止命令を出す無線信号を送るプロトコルの認証が弱いことに起因しています。
「この脆弱性が悪用されると、攻撃者が独自のブレーキ制御コマンドを最後尾装置に送信し、列車を突然停止させて運行障害を引き起こしたり、ブレーキ故障を誘発したりする可能性があります」とCISAは7月10日のアドバイザリで述べており、この脆弱性は比較的容易に悪用できると説明しています。
業界団体であるアメリカ鉄道協会（AAR）は、問題のあるプロトコルの維持を担当する委員会を管理しており、CISAのアドバイザリによれば、脆弱なシステムを置き換えるための新しいシステムを開発中です。
しかし、その新しいシステムが準備できるのは早くても2027年になる見込みであり、ニール・スミス氏によると、この脆弱性を独自に発見しCISAに報告した2人の研究者のうちの1人です。もう1人の発見者であるエリック・ロイター氏は、最初にこの件について2018年のDEF CONハッカー会議で講演を行っています。
Xでのスレッドで、スミス氏は主張し、2012年にこの欠陥を国土安全保障省に最初に報告したが、AARは「現実世界で証明できない限り脆弱性を認めない」と述べたとしています。昨年CISAと再びこの欠陥について議論し始めた後、AARと鉄道機器ベンダーはこの問題の深刻さを軽視したと述べています。
「AARの情報セキュリティディレクターは、これはそれほど大きな問題ではなく、デバイスとプロトコルが『寿命終了』なので何もしないと決めたが、皮肉なことにそれらは今も使われている」とスミス氏は書いています。「AARはCISAとの協議から何度も離脱しました。」
CISAとAARはコメント要請にすぐには応じませんでした。
危険な欠陥
新たに明らかになったこの脆弱性は、これまで発見された中で最も深刻な鉄道インフラへのサイバー脅威の一つとなる可能性があります。ハッカーが偽のブレーキ信号を列車に送ることで、列車を脱線させたり損傷させたりし、乗客や貨物を危険にさらし、米国の厳密に管理された貨物・旅客鉄道システムに混乱をもたらす恐れがあります。
最新情報をお届けします。Cybersecurity Diveの無料デイリーニュースレターを購読してください。
米国では、約14万マイルの線路が年間15億トンの貨物を輸送しています。鉄道は軍事物流にも不可欠であり、ロシア政府の関係者とみられるハッカーがウクライナの鉄道インフラを繰り返し攻撃したほか、ウクライナ向け西側支援の要衝であるポーランドでも攻撃がありました。ポーランドでの大規模な攻撃は、安価な装置から発せられるRF波を利用しており、これは今回の新たな脆弱性にも有効な手法です。
運用技術サイバーセキュリティ企業Forescoutのシニアディレクター兼研究責任者ダニエル・ドス・サントス氏は、この脆弱性が深刻な理由は2つあると述べています。1つは無線で悪用できることであり、これは過去にも発生しており、前例があること、もう1つは修正が困難なプロトコルに影響を与えることです。同氏は、企業に対し自社の潜在的なリスクを特定し、信頼できるネットワーク外から発信されたデータパケットを検知できる侵入検知ソフトウェアの導入を促しています。
この欠陥は「鉄道におけるサイバーセキュリティの重要性を強調するものだ」とドス・サントス氏はメールで述べています。
鉄道業界をサイバー脅威や自然災害から守る責任を持つ運輸保安庁（TSA）は、2022年に初めてサイバー規制を発表しました。それ以来、TSAは業界と協力してデジタル防御の強化に取り組んでいますが、専門家はその取り組みが金融やエネルギーなど注目度の高い分野に比べてまだ初期段階であると見なしています。
TSAはコメント要請に応じませんでした。