2月21日、2025年1月22日から24日まで開催されたPwn2Own自動車ハッキングコンテストの2日目に、参加者がテスラのウォールコネクター電気自動車充電設備のハッキングに2回成功し、9万5000ドルの賞金を獲得したと報じられた。

この競争では、テスラの充電設備に加えて、WOLFBOX、ChargePoint Home Flex、Autel MaxiChargerなどのブランドの充電設備への挑戦にも成功しました。

電気自動車の販売台数が継続的に増加していることから、世界の電気自動車充電設備市場は爆発的な成長期を迎えています。QYResearchの調査データによると、世界の電気自動車充電設備市場規模は2030年までに179億2,000万米ドルに達すると予想されています。

同時に、ハッキングコンテストで実証されているように、モノのインターネット (IoT) の主要構成要素である大規模な電気自動車充電ステーションは、深刻なサイバーセキュリティの課題に直面しています。

課題は電気自動車の充電設備にとどまらず、自動車業界における API の安全性の問題にも及びます。

Bleeping Computerのデータによると、2023年には約20社の自動車メーカーとサービスプロバイダーにAPIセキュリティの脆弱性が見つかりました。これらの脆弱性により、ハッカーは車両の遠隔ロック解除やエンジン始動、車両の位置追跡、所有者の個人情報の窃取などが可能になりました。さらに、一部の電気自動車充電ステーションプラットフォームにはAPI認証の問題があり、アカウントを乗っ取られてすべての充電ステーションが遠隔操作される可能性があることが判明しました。ハッカーはユーザーアカウントを乗っ取り、充電サービスを妨害し、さらには充電ステーションに「バックドア」を仕掛けることで、ユーザーのホームネットワークに侵入する可能性もあります。

メディアの報道によると、2024年に韓国の自動車メーカーがAPI認証の欠陥により数百万台の車両を公開し、攻撃者がナンバープレートの情報を使って遠隔操作でドアのロックを解除したり、エンジンを始動したり、車両を追跡したりすることが可能になった。

Akamai シニアソリューションテクノロジーマネージャーの馬俊氏は、「IoT デバイスはハードウェアとソフトウェアの脆弱性に対して特に脆弱であり、従来の多くの OT システムはネットワークセキュリティを考慮して設計されていません。単一のノードが侵害され、バイパスされると、充電ネットワーク全体に侵入され、より深刻な結果とリスクにつながる可能性があります」と述べています。

馬軍氏は、ネットワークアクセス制御に「ゼロトラスト」モデルを適用することが、このような重要な充電ネットワークにとって特に重要であると指摘しました。このモデルは、検証済みで承認されたデバイスのみがネットワークリソースにアクセスできるようにすると同時に、接続されたすべてのOTデバイスのリアルタイム監視と識別を可能にします。きめ細かなセグメント制御を実装することで、デバイス間の通信を効果的に制限するだけでなく、ネットワークトラフィックを継続的に監視し、重要なインフラを保護し、コンプライアンス要件を満たすことが可能になります。これにより、OTデバイスのネットワークセキュリティが大幅に向上し、潜在的なリスクが軽減され、事業継続性が確保されます。

Akamai アジア太平洋地域および日本におけるセキュリティ技術担当ディレクターのルーベン・コー氏は、次のように強調しました。「自動車業界における API の活用が拡大するにつれ、そのセキュリティは技術的な問題から、ユーザーのプライバシー、安全性、そして企業ブランドの評判に関わる中核的な課題へと変化しています。自動車メーカーは、技術の進歩がユーザーの安全性を犠牲にすることのないよう、API の開発、テスト、管理を体系的に改善するために、早急に行動を起こす必要があります。」

APIセキュリティの保護には多面的なアプローチが必要です。ルーベンは、企業が以下の3つの主要領域に重点を置くことを提案しています。

1. 可視性。すべてのAPIについて、その目的、エンドポイント、潜在的なリスクなど、包括的な理解を確保します。APIアクティビティを定期的に監査・監視し、レガシーインターフェースや監視されていないインターフェースが公開されないようにします。

II. 脆弱性管理。セキュアな開発プラクティスを遵守し、定期的に脆弱性スキャンとコードレビューを実施し、既知の脆弱性には速やかにパッチを適用します。攻撃対象領域を最小限に抑えることが、脆弱性の悪用を防ぐ鍵となります。

III. ビジネスロジックの保護。明確なビジネスロジックのベースラインを確立し、異常な動作を監視し、ビジネスロジックを標的とした複雑な攻撃を防ぎ、重要なデータと機能を保護します。