拡大する一方のサイバー攻撃に対し、クルマ界が備えるにはどうしたらいいのか？

　2022年2月、トヨタの協力会社である小島プレス工業がサイバー攻撃を受けた。同月にはブリヂストンの米グループ会社も攻撃を受けるなど、自動車業界でもサイバー攻撃による被害が拡大している。

　自動車業界はどのようにしてサイバー攻撃に備えればいいのか？ モータージャーナリスト桃田健史が現状と課題を解説する。

文／桃田健史、写真／Adobe Stock（メイン画像=bits-and-splits@Adobe Stock）

■多方面からサイバー攻撃を受けているクルマ界

IT化が進むにつれてサイバー攻撃の数も増えている。自動車業界もサイバー攻撃を受けており、2022年2月にトヨタの関連部品を手がける小島プレス工業もサイバー攻撃を受けた（peera@Adobe Stock）

　IT（インフォメーション・テクノロジー）が社会全体に広がっていくのと並行して、サイバー攻撃の数も増加している。サイバー攻撃と聞くと、最終的な解決のメドが立たないウクライナとロシアとの戦争でも重要な役割を担っているとの報道がある。

　また、アメリカとロシア、また中国とアメリカとの間で、政治や経済にかかわる情報戦として国家の中枢システムに対する軍事的な攻撃について報道されることが増えてきた。

　一方、自動車業界についても多方面からサイバー攻撃を受けているのが現状だ。

　例えば、トヨタの協力会社でインテリアや電動車関連部品などを手がける小島プレス工業（本社：愛知県豊田市）が2022年2月26日の夜間に自社サーバーに外部からの不正アクセスがあり、被害防止の観点からすべてのシステムを一時的に停止した。

　その影響から、トヨタをはじめとするサプライチェーンに大きな影響が及んだ。

■小島プレス工業でおきた「ランサムウェア攻撃」とその対応

　本件について、小島プレス工業は緊急対策本部を立ち上げて原因究明を急ぎ、同年3月31日付けで調査報告書・第一報を公開した。

　それによると、侵害経路は同社子会社が独自に特定外部企業との専用通信を利用したリモート接続機器を通じたものだったことが判明した。

　サイバー攻撃者は、そのリモート接続機器から子会社内のシステムネットワークに進入した後、小島プレス工業のネットワークに進入。2月26日20時過ぎにサーバーやパソコンに攻撃した痕跡が見つかった。

　社内データの一部が暗号化され、これに対するランサムウェアであるという。

　このランサムウェアという言葉、最近よく耳にするようになったと思う。ランサムとは身代金、そしてウェアとはソフトウェアを意味する。

　なお、小島プレス工業によると、社内データが社外に漏洩した事実は確認されていないとのこと。

　そのうえでEメール、Webサイト、取引先とのネットワーク、社内業務システムなど、安全を確認できたものから順次、復旧を進めている。

　今後は、社員はもとより、サプライチェーン全体を通じた不正アクセス防止の強化に取り組む姿勢を示した。

　このほかにも、ブリヂストンの米グループ会社が2022年2月27日にランサムウェアによる攻撃を受けた。

　同社は米連邦政府へ速やかに報告し、システムの総点検を行い、システムを復旧させた。

■小島プレスのケースで改めて注目される「脆弱性」

　このようなサイバー攻撃について、日本語で「脆弱性（ぜいじゃくせい）」というキーワードが出てくることが多い。

　システムが外部からの攻撃に弱い、ということだが、前述の小島プレス工業の事例にもあるように本部のシステムは防御が強靭なのに対して、子会社が個別に使う末端の機器が脆弱というケースがある。

　さまざまなシステムが多様につながっているなかで、最も弱いところを狙うという「サーバー攻撃の基本」ともいうべき考え方だ。

　視点を少し変えると、クルマそのものでもシステムの脆弱性が大きい社会問題になったことがある。

　いわゆる、コネクテッドカーに関してである。

■まるでラジコン!? 実車を遠隔操作で動かせる

技術次第ではプリウスやジープを遠隔で動かすことも可能に。こうしたセキュリティ対策として、J-Auto-ISACではサイバーセキュリティの施策が公開されている（rybindmitriy@Adobe Stock）

　2013年にハッカーの祭典であるDEF CON（デフコン）で、ハッカーらによるプリウスを遠隔で操作する様子が地元テレビ局の取材やオンライン映像などを通じて流れた。

　また、2015年にはハッカーらによるイベントで、クライスラー（現：ステランティス）のジープチェロキーを遠隔で操作する模様が公開された。

　ジープの場合、インフォテイメントのシステムに脆弱性があり、そこから車載ネットワークに侵入し、アクセル・ブレーキ・ステアリング操作などのECUを外部からコントロールすることに成功したという。

　こうしたコネクテッドカーのセキュリティ対策については、日本では自動車メーカー、半導体・電子部品メーカー、ソフトウェアメーカーなどでつくる、車載ネットワークや情報セキュリティに関する標準化を推進する一般社団法人JASPER（ジャパン・オートモーティブ・ソフトウェア・プラットフォーム・アンド・アーキテクチャー）で議論が進んできた。

　さらに、サイバーセキュリティの対応としては、アメリカのAUTO-ISAC（オートモーティブ・インフォメーション・シェアリング・アンド・アナリシス・センター）での議論が始まり、日本でも「J-Auto-ISAC」が設立され、サイバーセキュリティの施策やガイドラインが公開されるようになっている。

■国全体の課題として捉える必要性あり

　こうしてクルマのシステムにおけるサイバー攻撃に対する備えが進むなかで、直近のランサムウェア攻撃に見られるような自動車メーカーと自動車部品メーカーによるサプライチェーン全体に対するサイバー攻撃への備えについてもさらなる強化が必要だ。

　これについては、国として産業サイバーセキュリティという観点での対策を進めている。

　具体的には、経済産業省商務情報政策局サイバーセキュリティ課が、「Society 5.0における産業社会のセキュリティ対策」について有識者らによる研究会などを通じて議論を高めているところだ。

　そのなかで、自動車業界も含まれる形での、サプライチェーン・サイバー・セキュリティ・コンソーシアム（SC3）がある。2020年11月1日に設立され、2021年11月に第2回総会を行った。

　経済3団体（経団連、日本商工会議所、経済同友会）から役員が出ており、日本自動車工業会、日本航空宇宙工業会、日本オンラインゲーム協会など96団体を含む175会員（2022年2月末時点）という多様性に富むコンソーシアムである。

■サイバー攻撃が急増する中、よりセキュリティ強化を求められる

サイバー攻撃を受けた企業は2021年7～12月で146件と前年から4倍にまで増加。それからセキュリティの強化をするも、小島プレス工業のようにサイバー攻撃を受けるケースがあるためさらなる強化策が必要だ（alphaspirit@Adobe Stock）

　警察庁によると、サイバー攻撃者がサプライチェーンのなかでシステムが脆弱な中小企業を狙った事例が令和3年度は全国で146件発生しており、7～12月だけで前年比4倍と急増している状況だ。

　そのなかで、サイバーセキュリティを経営面でどう考えるべきかをまとめたガイドラインのバージョンアップ、プラクティス集の改訂、またステークホルダー（主に機関投資家）を通じた啓発活動などを進めているところだ。

　日本自動車工業会と日本自動車部品工業会の取り組みについても参考資料として提示されており、セキュリティ対策を効果的に点検するためのチェックシートをサプライチェーン約2300社で展開するなど対策を進めてきた。

　それでも、前述の小島プレス工業の事例が発生しており、自動車業界ではサイバー攻撃に対して、さらなる強化策が求められている。