要点
- 研究者が、自動車メーカー2社の顧客ログイン用サーバーに入り込み、顧客アカウントの操作に到達できたと公表した。
- コネクテッドカーでは、オーナーのアプリと同じ、位置の確認やドアの解錠、エンジン始動までできたという。
- 2社は報告から約2時間で修正した。ただし社名は伏せられており、日本の車が対象かは分からない。
何が起きたか
セキュリティ研究者の Sam Curry と Shubham Shah が、2026年11月7日に調査結果を公開した。対象は、2社の自動車メーカーが顧客のログインに使っていた ForgeRock（現 Ping Identity）の認証基盤だ。
Curry によると、複数の欠陥をつなぐことで、本番サーバー上で好きな処理を動かせた。入口は、管理用コンソールに残っていた初期の管理者資格情報だった。Curry の記事は「The default credentials worked」と書いている。そこから顧客アカウントの正規のログイン状態を作れたという。
Curry は、米国のアカウントと車で、アカウントの乗っ取りから実車の操作までを確かめたと書いている。コネクテッドカーを登録したアカウントなら、車の位置、走行データ、遠隔での施錠・解錠、エンジンの始動と停止がオーナー本人と同じように扱えた。記事には、Shah が車を解錠して始動し、エンジンを止めて再び施錠したとある。アカウント情報の書き換えもできたとされる。
確認は研究者自身か、同意を得た人の車でだけ行われた。Curry の記事によると、サーバーは複数の地域の顧客を扱っていたが、通しの確認は米国のアカウントと車だけだった。
Shah は別の記事で、オーストラリアの同系統の基盤についても報告している。車のナンバープレートだけを起点に、ドアの解錠などの命令を送れる連鎖を示した。Shah の記事は、どのメーカーかも、修正されたかも書いていない。
2社の修正について、Curry は報告から約2時間で直ったと書いている。研究者の置いた検証用の部品が取り除かれ、使われていた認証情報も入れ替えられたという。
日本の利用者への影響
分からない。両方の記事は日本に触れておらず、メーカー名も、メーカー側の要望で伏せられている。日本で売られている車が該当するかは、公開情報からは確かめられない。
実際に悪用されたという報告もない。研究者は自分たちの検証だけを書いている。
今すぐやること
- 車のメーカーの公式アプリやサイトで、今回の件に関するお知らせが出ていないか見る。
- コネクテッドカーのアカウントには、他で使っていない長いパスワードを設定する。MFA（パスワードのほかにスマホでも本人確認する仕組み）が選べるなら有効にする。
- アプリの登録メールアドレスや、ログイン通知の設定に見覚えのない変更がないか確かめる。
- 使っていない遠隔操作の機能や、共有ユーザーがあれば、外しておく。
- 自社で ForgeRock や Ping の製品を運用しているなら、管理用の画面を外から見えなくし、初期パスワードが残っていないか点検する。The Hacker News は、Felix コンソールの削除か初期パスワードの変更を挙げ、入口の振り分けルール（WAF）だけに頼らないよう勧めている。
背景
車のアプリの裏側にある認証基盤は、多くの車と顧客をまとめて扱う。ここが破られると、1台ずつの攻撃より影響が大きい。Curry らは以前にも、複数の自動車メーカーのシステムの欠陥を公表している。今回は、製品そのものの欠陥ではなく、設定の不備と運用の問題が中心とされる。The Hacker News によると、そのため CVE 番号も、ベンダーの注意喚起も出ていない。
技術者向けの詳細
- 対象: ForgeRock（Ping Identity）の認証基盤を使う自動車メーカー2社。社名は非公表。
- 公開日: 2026年11月7日（Curry、Shah とも）。The Hacker News は検証時期を2026年2月とし、Shah の記事は調査を7月とする。
- 修正: Curry によると、報告から約2時間で、検証用部品の削除と認証情報の入れ替えが行われた。
- 原因（Curry の記事）: OpenIDM の管理コンソール（Apache Felix）に残っていた既定の資格情報と、入口側（WAF）とサーバー側のパス解釈のずれ。
- 確認の範囲（Curry の記事）: サーバー上での処理実行、顧客アカウントの乗っ取り、米国の実車の解錠・始動まで。他の地域は通しでは未確認。
- 対策（The Hacker News）: Felix コンソールを削除するか初期パスワードを変更する。WAF 頼みにしない。Curry の記事は ForgeRock の強化ガイドに触れている。
- オーストラリアの Shah の連鎖は、別の手口とされる。修正状況は不明。
- CVE の割り当てなし。
