ハッカーがSirius XMの欠陥を悪用して遠隔でロックを解除し、車のクラクションを鳴らす

インターネットに接続された車両の時代において、新たに発見されたサイバーセキュリティの問題は、車を「盗む」ということの意味を再定義しています。

Yuga Labs のスタッフ セキュリティ エンジニアであり、自称ハッカーであるサム カリー氏による最近の実験では、彼のチームが Sirius XM ソフトウェアの脆弱性を利用し、公開されている車両識別番号 (VIN) を使用して車両にリモート アクセスすることができました。 、The Vergeが報じている(新しいウィンドウで開きます)。

SiriusXM Connected Services の傘には、インフォテイメントおよびテレマティクス システム(新しいウィンドウで開きます) が含まれており、これらは 15 社以上の OEM によって使用されています。アキュラ、BMW、ホンダ、ヒュンダイ、インフィニティ、ジャガー、ランドローバー、レクサス、日産、スバル、トヨタ。

MyHonda や Nissan Connect(新しいウィンドウで開きます) などの車両アプリケーションには Sirius XM が統合されています。 そこで、カリー氏のハッキング実験では、友人に日産アカウントを尋ねてログインしました。これにより、彼は日産アプリにアクセスしてバックエンドを検査できるようになりました。

カリーさんは、セキュリティ システムにログインの抜け穴があることに気づきました。 誰かのアカウントにアクセスするために一意のユーザー名とパスワードは必要ありませんでした。 代わりに、カリーは車両のフロントガラスに公に掲示されている VIN のみを入力することができました。

次にチームは、VIN を使用して車両コマンドを実行する Python スクリプトを作成し、リモートで車の始動、ロック解除、位置特定、ライトの点滅、クラクションの鳴動を可能にしました。 理論的には、悪意のある攻撃者は、その地域にある車の VIN をコピーしてスクリプトに接続し、車両のロックを解除して車内の何かを盗むことができます。

別のリスクも浮上しました。カリーのプログラムは、住所、名前、電話番号、車の緯度/経度などの顧客の個人情報にアクセスしていました。 ハッカーはこの情報をさまざまな方法で使用する可能性があり、たとえば、緯度と経度を使用して定期的に車を追跡したり、既知の位置情報を使用して所有者の自宅での不正行為を計画したりすることができます。

カリー氏は「この時点で、日産だけでなくホンダ、インフィニティ、アキュラの車両でも顧客情報にアクセスし、車両コマンドを実行できることが判明した」とツイートした。 「この問題を SiriusXM に報告しました。SiriusXM はすぐに修正し、パッチを検証しました。」

「いかなる時点でも、加入者やその他のデータが侵害されたことはなく、この方法を使用して不正なアカウントが変更されたこともありません」とSirius XMの広報担当者はThe Vergeに語った。

SecurityWatch にサインアップするプライバシーとセキュリティのトップ記事を受信箱に直接配信するニュースレター。

このニュースレターには、広告、取引、またはアフィリエイト リンクが含まれる場合があります。 ニュースレターを購読すると、利用規約とプライバシー ポリシーに同意したことになります。 ニュースレターはいつでも購読を解除できます。

購読が確認されました。 受信トレイに注目してください。