デフォルトの管理者パスワードが原因、研究者が自動車の解錠とエンジン始動に成功

研究者が、2つの自動車ブランドで顧客アカウントを乗っ取ることに成功しました。両ブランドのログインサーバー上にある管理コンソールが、初期設定のパスワードのまま保護されていたことが原因です。研究者はこれを突き、テスト車両を遠隔で解錠してエンジンを始動させる様子を実演しました。

セキュリティ研究者のShubham Shah氏とSam Curry氏は、11月7日に公開した詳細レポートで、この調査の内容を明らかにしました。両ブランドの顧客ログインは、ForgeRock（現在はPing Identityの傘下）のIDマネジメントソフトウェア「OpenIDM」で運用されていました。自動車メーカーの要請により、ブランド名は公表されていません。

研究者は、この欠陥を2社の自動車メーカーに報告しました。あわせて、導入前にコンソールを削除または保護するよう求めるForgeRockのハードニング（堅牢化）ガイダンスにも言及しています。

乗っ取ったアカウントからテスト車両の解錠とエンジン始動に成功

研究者は2026年初頭、ログインサーバーの前段にあるWebアプリケーションファイアウォール（WAF）を回避しました。その結果、コンソールが文書化された初期設定の認証情報を依然として受け付けることを確認しました。そこからIDサーバー上で独自のコードを実行し、テスト用アカウントのメールアドレスとパスワードを書き換えました。

通常のアプリを使ってその顧客としてログインし、所有者が同席した状態でテスト車両を解錠してエンジンを始動しました。このセッションでは、車両の位置情報やテレメトリーも閲覧できました。

研究者によると、影響を受けた環境では、あらゆる顧客アカウントのセッションを作成できた可能性があります。また、アカウントのログイン情報を変更しても、所有者のアプリで既存のセッションが有効なままでした。さらに、アプリの通知を所有者のスマートフォンに届かないようそらすこともできたといいます。

レポートによると、両メーカーは報告から約2時間後に問題を修正し、影響を受けた認証情報を更新しました。

コネクテッドシステムにおけるデフォルトパスワードの問題について、詳しくはこちら：CISAとFBI、産業用冷凍ネットワークの保護に向けた対策を呼びかけ

オーストラリアのシステムでもハードコードされた認証情報が露呈

Shah氏は関連記事で、あるメーカーのオーストラリア向けシステムに対する別の攻撃の連鎖について解説しています。この調査は2026年7月に実施されたものです。

攻撃は車両のナンバープレートから始められる可能性がありました。続いて、ハードコードされた管理者の認証情報、WAFの回避、そして誤って設定された多要素認証（MFA）のステップを突くことで、アカウントの乗っ取りと遠隔解錠が可能になりました。

露出したデータには、顧客の氏名、電話番号、パスワードハッシュが含まれていました。2つのレポートを合わせると、対象車両はオーストラリア、米国、カナダに及びます。研究者は、テストは自らが所有する車両、または使用許可を得た車両でのみ実施したと説明しています。

Shah氏の記事には、オーストラリアでの発見をいつ報告したのか、すでに修正されたのかについての記載がありません。悪用の有無や、研究者がそれを確認したかどうかについても、どちらの記事にも書かれていません。

Shah氏の記事は、オーストラリアでの発見をいつ報告したのか、すでに修正されたのかにも触れていません。悪用の有無や、研究者がそれを確認したかどうかについても、どちらの記事にも書かれていません。

Ping Identityにコメントを求めましたが、公開時点で回答はありませんでした。