2つの自動車ブランドが提供しているスマートフォンアプリで、ログインの仕組みを丸ごと乗っ取れる状態だったことが、2人のセキュリティ研究者の調査で明らかになりました。研究者は、どの利用者のアカウントにも入り込むことができ、ネットにつながる「コネクテッドカー」を持つ利用者の場合は、車のドアを開けたり、エンジンを始動したりすることまで可能だったとしています。
原因は、驚くほど単純なものでした。両ブランドのアプリは、利用者のログインを「ForgeRock」という本人確認（ID管理）用の製品で処理していましたが、その裏側で動くサーバーの管理者用パスワードが、初期設定の「ユーザー名 admin／パスワード admin」のままになっていたというのです。ソフトウェアそのものに複雑なセキュリティホールがあったわけではなく、設定の詰めが甘かったことが、そのまま致命的な穴になっていました。
ログインを管理するサーバーは、いわば「全利用者の合鍵を保管している金庫」です。ここの管理者権限を握られると、個々の利用者がどれだけ強いパスワードを設定していても意味がありません。アプリから車を遠隔操作できる時代では、こうしたサーバー側の不備が、そのまま現実の車の盗難リスクにつながりかねない点が深刻です。
「初期パスワードを変え忘れる」というミスは、家庭用ルーターや防犯カメラなどでも繰り返し問題になってきた、古くて新しい落とし穴です。
利用者側にできることは限られますが、車のアプリから身に覚えのないログイン通知や操作履歴がないか時々確認する、アプリやメーカーからのお知らせに目を通す、といった習慣は有効です。また、自宅のルーターやネットワーク機器なども、初期パスワードのまま使っていないか、この機会に見直してみるとよいでしょう。