研究者ら、遠隔ハッキングによりWHILL車いすの安全リスクを暴露

セキュリティ研究者らは、ハイテク電動車いすにおける重大な脆弱性を実証し、認可されていない遠隔操作が可能になることを示した。これにより、接続型モビリティ機器に新たな安全リスクが浮き彫りになった。

12月30日、米国のサイバーセキュリティ機関CISAは、世界中で販売されている個人向け電動モビリティ機器を手がける日本企業WHILLの電動車いすで研究者が発見した深刻な脆弱性について、一般に知らせるためのアドバイザリを公開した。

CISAのアドバイザリによると、WHILLの電動車いす「Model C2」と「Model F」は、認証欠如の脆弱性の影響を受ける。この問題はCVE-2025-14346として追跡され、深刻度はクリティカルに分類されている。 

CISAは、WHILLの車いすがBluetooth接続に対して認証を強制しておらず、標的デバイスのBluetooth到達範囲内にいる攻撃者がペアリングできると述べた。その後、攻撃者は資格情報やユーザー操作を必要とせずに、車いすの動きを制御し、速度制限を上書きし、設定プロファイルを操作できるという。 

この欠陥は、運用技術（OT）やその他の重要システムの保護を民間および政府組織に支援する、研究主導のサイバーセキュリティ企業QED Secure Solutionsのチームによって発見された。 

QEDの研究者らは、潜在的に深刻な影響を及ぼし得る攻撃を長年にわたり実証してきた。約10年前、Black Hatカンファレンスで、遠隔から洗車機をハッキングすることで、ハッカーが車両に物理的損傷を与え、乗員を負傷させ得ることを示した。

QEDの共同創業者ビリー・リオス氏はSecurityWeekに対し、WHILL車いすの脆弱性は、同社が2025年に開催した年次ハッカソンの最中に発見されたと語った。 

「私たちは通常、ある技術を選び、それを購入し、中心となる場所に移動して、1〜2週間かけてハッキングします」と、著名なセキュリティ研究者であるリオス氏は説明した。 

実験の過程で、QEDの研究者らは車いすの物理的な制御を獲得することに成功し、キーボードとゲームコントローラーを使ってデバイスを操縦した。統合された安全機能を無効化することで、研究者らは想定されるリモート制御パラメータを超える速度で車いすを動作させることができた。

影響が大きい理論上のシナリオを示すため、チームは近接範囲内にあるあらゆるWHILL車いすを自動的に侵害するよう設計されたエクスプロイトを開発した。SecurityWeekはこのエクスプロイトのデモ動画を確認しており、そこでは車いすが遠隔操作で高速のまま階段の一連の段差から落とされる様子が映っていた。

攻撃者はエクスプロイトを実行するために当初Bluetoothの到達範囲内にいる必要があるが、リオス氏は、デバイスが元の範囲外に移動した後でも理論上は制御を維持できると指摘した。「私たちはこれを実証してはいませんが、可能です」とリオス氏は述べた。

WHILLには自律走行型の車いすモデルもあるが、リオス氏によれば、同モデルはまだテストしていないという。 

CISAのアドバイザリによると、WHILLは2025年12月下旬にパッチを提供し、複数のセキュリティ問題に対する緩和策を展開した。しかしリオス氏は、彼のチームには更新が提供されておらず、文書化された攻撃を効果的に防げるかどうかを検証できないままだと述べた。パッチがデバイスに自動配信されるのか、ユーザーが手動でインストールする必要があるのかは不明だ。 

リオス氏は、この研究は「楽しみのため」に行われたものだとしつつも、この脆弱性はWHILL製品のセキュリティについて深刻な疑問を投げかけると指摘した。

同社の製品はFDAの承認（クリアランス）を取得しているが、WHILLの車いすに強力な認証や暗号化、ファームウェアのコード署名といった不可欠な保護が欠けていたことを政府機関はおそらく把握していないだろう、と研究者は述べた。

「私たちは、彼らの車いすに関連する明確な患者安全上のリスクを実証しました。これは特に憂慮すべきことです」とリオス氏は述べた。

WHILLはSecurityWeekのコメント要請に回答していない。