SDV化で広がる自動車“連鎖リスク”――「4か月復旧せず」アサヒGHD被害は対岸の火事なのか？
アサヒGHDを襲ったランサムウェアは、復旧まで4か月超を要する事態となった。常時接続が前提のSDV時代、ソフト比率4割に達した車と企業は、完全防御ではなく「被害前提型統治」を迫られている。
車両の外側に広がる攻撃対象
SDVを取り巻くサイバーリスクは、車両単体に集中しているわけではない。運用や管理、外部との接続を含むシステム全体に分散している。実際、世界では自動車メーカーやレンタカー事業者を中心に、バックエンドや業務システムが被害を受ける事例が相次いでいる。現時点で顕在化している被害の多くは、車両そのものではなく、それを支える中枢システムに向けられている。
特に狙われやすいのが、運行管理やフリート管理、ソフトウェア配信を担うバックエンドだ。多数の車両を一括で制御、更新する仕組みであるため、侵入が成功すれば影響は一気に広がる。攻撃者にとっては、車両を個別に狙うより、停止させられる規模が大きい点が魅力となる。
EVの普及にともない、充電インフラも重要な攻撃対象になっている。充電ステーションは課金や認証、ユーザープロファイル管理を担い、車両だけでなくクラウドやエネルギー事業者とも接続される。車両側の対策だけでは、こうした外部接点のリスクを十分にカバーできない。
実際、欧州では自動車メーカーのブランドで提供されるEV充電サービスにおいて、外部委託先の業務システムが不正アクセスを受け、利用者情報が閲覧された可能性が公表された。運営への直接的な影響はなかったものの、外部接点を通じた攻撃が成立し得ることを示した。
さらに見落とされがちなのが、企業ネットワークと人の運用が関与する領域である。社用車や物流車両は、企業のIT環境や従業員端末と結びついている。侵入の起点は、必ずしも車載OSの脆弱性とは限らない。権限管理の不備や設定ミス、初動判断の遅れといった運用面が、被害拡大の引き金になるケースは多い。最終的には、人と組織の判断が被害の大きさを左右する。