研究チームは複数のメーカーの自動車やウェブサイトを分析し、遠隔操作やユーザー情報奪取につながる脆弱性を発見しました。研究チームが報告している脆弱性の一部が以下。
◆トヨタ
・トヨタの関連企業が管理する顧客の「名前」「電話番号」「メールアドレス」「融資状況」へアクセス可能な脆弱性を発見。
◆ホンダ、日産、起亜自動車
・車両システムにアクセスして遠隔から「ロック」「ロック解除」「エンジン始動」「エンジン停止」「ヘッドライト点灯」「クラクションを鳴らす」といった操作が可能。
・車両システムから本来のユーザーを除外し、所有権を変更可能。起亜自動車の場合、360度ビューシステムにアクセスして車両の周囲の情報を取得できた。
◆BMW
・従業員になりすまして従業員専用アプリケーションへのアクセスに成功。
・従業員専用アプリケーションから自動車の販売情報を含む顧客の個人情報にアクセス可能。
◆メルセデス・ベンツ
・従業員になりすまして社内GitHubリポジトリにアクセス可能。社内GitHubリポジトリには車両管理アプリ「Mercedes me connect」のソースコードや車両システムにアクセスするための詳細な手順が含まれていた。
・従業員になりすまして社内チャットシステムにアクセスし、「車両の管理権限を取得する方法」などの質問を行えた。
◆フェラーリ
・車両管理システムにアクセスして所有権を上書き可能。
・社内システムにアクセスして顧客の詳細情報を確認可能。
上記の脆弱性は研究チームが公開したものの一部で、報告記事では他にもポルシェやヒョンデといったメーカーの情報にアクセスできたことが報告されています。また、報告記事では脆弱性を発見した具体的な手法も解説されています。