2026年9月21日、オーストラリアABC Newsの調査報道番組「Four Corners」は、BYDのプラグインハイブリッド車「Shark 6」をサイバーセキュリティ専門家に解析させた結果を公開しました。
運転席にはABCの記者。道路脇にはノートPCを持ったセキュリティ専門家Dan Hreszczuk氏。
車が走り始めると、ワイパーが最高速度で動き、ウォッシャー液が噴き出します。ヘッドライトも外部から操作され、最後には完全に消灯しました。
Shark 6を預かって解析した期間は2週間。Hreszczuk氏は、侵入に利用したアクセス経路について「パスワードすらなかった」とABCに説明しています。
ただ、今回の話をBYD一社の問題として見ると、自動車セキュリティの現在地を見誤ります。
2024年にはKiaで、ナンバープレート番号を入口として車両を特定し、インターネット経由でドアの解錠やエンジン始動などを実行できる脆弱性が見つかりました。Teslaはセキュリティ競技会Pwn2Ownで車載モデムやインフォテインメントシステムを突破され、ToyotaでもBluetoothとクラウドという別々の場所から問題が見つかっています。
同じ「車のハッキング」でも、侵入口は一つではありません。
BYD Shark 6では何が操作されたのか
Four Cornersが依頼したのは、キャンベラのFortify Labs共同創業者Dan Hreszczuk氏です。
Hreszczuk氏がShark 6から遠隔操作できたのは、ドアロック、スピーカー、インフォテインメント画面、ワイパー、ウォッシャー、ヘッドライトなどでした。
車両の現在位置もリアルタイムで追跡でき、車内マイクを遠隔で起動して、乗員の会話を聞くこともできました。
一方、ブレーキやカメラといった、より重要度の高い機能にはアクセスできなかったとHreszczuk氏は説明しています。
今回の検証から確認できるのは、BYD Shark 6の一部機能へ遠隔アクセスできたことまでです。走行そのものを完全に乗っ取れることまでは実証されていません。
それでも、夜間の高速道路でヘッドライトを消されたり、大雨の中でワイパーを勝手に動かされたりすれば、車両そのものを操縦できなくても事故につながる可能性があります。
ABCの実演では時速30km程度で走行し、道路も比較的直線的でした。その条件下でも、ワイパー、ウォッシャー、スピーカー、ライトを同時に操作される状況を記者は「highly distracting」と表現しています。
車内マイクへのアクセスは、別の攻撃にも使われました。
記者がiPhoneへ「Hey Siri」と話しかけた声をHreszczuk氏が車内マイクから録音。その音声を編集して車のスピーカーから再生すると、車内に残されたロック解除済みのiPhoneがSiriの命令として受け付けました。
この方法で、自宅住所、生年月日、連絡先に登録されていた元オーストラリア首相Malcolm Turnbull氏の電話番号、さらに記者が会話の中で口にしたインターネットバンキング用の仮パスワードまで取得する実演が行われています。
BYDはABCに対し、オーストラリアで収集したデータはオーストラリア国内に保存しており、中国当局へ提供したことはなく、今後提供する意図もないと回答しています。今回確認された車両の脆弱性と、中国政府が実際にBYD車を使って監視しているかどうかは、分けて扱う必要があります。
車の外側にも攻撃経路がある
自動車へのサイバー攻撃というと、車載コンピューターへ侵入し、車内ネットワークのCANバスを操作するイメージがあります。
現在のコネクテッドカーは、もっと広いシステムです。
車載ECUやインフォテインメントだけでなく、Bluetooth、Wi-Fi、携帯通信、スマートフォンアプリ、メーカーのWebサイト、クラウド、API、OTAアップデートなどがつながっています。
車のドアをスマートフォンから開けられるなら、そのスマートフォンアプリから車へ命令を届けるサーバーも存在します。
遠隔でエアコンを動かせるなら、メーカーのクラウドから対象車へコマンドを送る仕組みも必要です。
その途中に認証やアクセス制御の欠陥があれば、車載コンピューター自体を突破しなくても車へ正規の命令を送れる場合があります。
この通信の裏側では、車速、位置情報、走行距離、アクセル操作、急ブレーキといったデータがメーカーや各種サービスへ送られることもあります。車がどのような情報を記録し、どこへ送っているのかは、「あなたの車は何を記録しているのか―走行データは誰のもとへ行く？」で詳しく整理しています。コネクテッドカーは通信経路だけでなく、扱うデータそのものも広がっています。
Kiaで見つかった脆弱性が、その典型でした。
Kiaではナンバープレートからドアを解錠できた
セキュリティ研究者Sam Curry氏らは2024年6月11日、Kiaのオンラインシステムに複数の脆弱性を発見しました。
研究チームが作った実証ツールでは、対象となるKia車のナンバープレートを入力すると、約30秒後には車両に対してコマンドを送信できました。Kia Connectを契約していない車両も、必要なハードウェアを搭載していれば影響を受ける可能性があったとしています。
できたことは、ドアのロック・解錠、エンジンの始動・停止、ホーン、ライト、位置情報の取得など。
さらに所有者の氏名、電話番号、メールアドレス、住所といった個人情報も取得でき、攻撃者自身を車両の所有者側アカウントへ追加できました。所有者には、アクセス権が変更されたことを知らせる通知も出なかったと研究者は報告しています。
研究チームは第三者サービスを使ってナンバープレートからVIN（車台番号）を取得し、Kiaのディーラー向けWebシステムとAPIに存在したアクセス制御の問題を組み合わせています。
攻撃経路はメーカーのWebインフラ側にあり、車載ネットワークへ直接侵入する必要はありませんでした。
研究チームはKiaへ問題を報告し、同社は修正を実施。Sam Curry氏のタイムラインでは、2024年8月14日にKiaから修正済みとの連絡を受け、その後の検証を経て9月26日に脆弱性を公開したと記録されています。研究チームは、実際に悪用された事実は確認されていないとしています。
車の正規機能として遠隔解錠が用意されている以上、その命令を誰が送ってよいのかを判断する認証システムも、自動車の安全を構成する一部になります。
Teslaは車載モデムとインフォテインメントから突破された
Kiaとは別の経路から攻撃された例がTeslaです。
2024年1月に東京で開催されたセキュリティ競技会「Pwn2Own Automotive 2024」では、フランスのセキュリティ企業SynacktivのチームがTeslaを対象に攻撃を成功させています。
大会初日には、3件の脆弱性を組み合わせてTesla Modemを突破。賞金10万ドルを獲得しました。
翌日には、2件の脆弱性を組み合わせてTesla Infotainment Systemへの攻撃にも成功し、こちらでも10万ドルを獲得しています。
Pwn2Ownは、メーカーと調整された環境で研究者が未知の脆弱性を実証し、修正につなげるための競技です。
KiaではWeb/API側の認証、Teslaでは車載モデムやインフォテインメントが攻撃対象になりました。
ソフトウェアと通信経路が増えれば、それぞれに認証、権限管理、入力処理、アップデートといったセキュリティ上の設計が必要になります。
ToyotaでもBluetoothとクラウドから問題が見つかった
日本車も同じ課題を抱えています。
2020年、Tencent Keen Security Labは、一部のLexus・Toyota車に搭載されたマルチメディア製品の脆弱性をToyotaへ報告しました。
Toyota自身も研究結果を再現し、高度なハッキングプログラムを使ってBluetooth通信の脆弱性を悪用すると、一部の車両機能を遠隔操作できることを確認しています。Toyotaは対策を実施し、研究チームへの謝意も公式に表明しました。
2023年には、さらに別の場所で問題が見つかっています。
ToyotaがToyota Connectedへ管理を委託していたクラウド環境の一部が、設定ミスによって外部からアクセス可能な状態になっていました。
閲覧された可能性があった情報は、車載端末ID、車台番号、車両の位置情報、時刻です。
Bluetoothの脆弱性とクラウドの設定ミスは、技術的には別の問題です。
しかし利用者から見れば、どちらも一台の車を使うためのシステムに含まれます。
車内のソフトウェアが安全でも、車両と通信するクラウド側から位置情報が漏れれば、利用者の情報は守れません。
自動車ではソフトウェアの問題が物理世界へ出てくる
一般的なWebサービスへの攻撃なら、アカウントの乗っ取り、個人情報の流出、データの改ざんなどが被害の中心です。
コネクテッドカーにも同じ問題があります。位置情報、住所、電話番号、車内音声などは、そのままプライバシーや情報セキュリティの対象です。
そこへ車特有の要素が加わります。
BYD Shark 6では、ソフトウェアを通じたアクセスがワイパーやヘッドライトという物理的な装置まで届きました。Kiaではオンラインサービスへの侵入からドアロックやエンジン始動の正規コマンドを実行できました。
ABCのSiri実験は、もう一つ別の境界も示しています。
侵入した車のマイクとスピーカーを利用し、今度は車内に置かれたスマートフォンへ命令する。
この場合、車は攻撃される対象であると同時に、別の機器へアクセスするための足場にもなっています。
車両制御、ITセキュリティ、個人情報保護を完全に別々の問題として扱うことが難しい理由は、この接続関係にあります。
「ハッキングされない車」ではなく、継続して管理する仕組み
自動車業界では、こうしたリスクを前提とした国際的な制度がすでに動いています。
中心の一つが、国連欧州経済委員会（UNECE）の**UN Regulation No.155（UN R155）**です。
R155はメーカーに対し、サイバーリスクを管理するCyber Security Management System（CSMS）を求めます。
対象になるのは製品発売時の検査だけではありません。車両の設計段階からリスクを評価し、サプライチェーンを含めて対策し、販売後も車両群を監視して、セキュリティインシデントを検知・対応する仕組みが必要です。
EUではR155が2022年7月から新型車へ、2024年7月から新たに生産される車両へ義務化されました。
日本も国内制度へ取り込んでおり、OTAに対応する車両では新型車が2022年7月から、新規生産車が2024年7月から対象となっています。OTA非対応車についても段階的に対象が拡大されています。
もう一つがISO/SAE 21434:2021です。
こちらは法律ではなく国際規格で、車両の電気・電子システムについて、企画、開発、生産、運用、保守、廃棄までライフサイクル全体でサイバーリスクを管理する方法を定めています。
ISO/SAE 21434は、車両のライフサイクル全体でリスクを評価し、対策し、監視を続けるためのプロセスを定めています。ISO自身も、規格が特定の安全技術そのものを保証するものではないと説明しています。
複雑なソフトウェアでは、脆弱性の発見後に影響範囲を確認し、修正し、実際の車両へ更新を届ける工程まで含めて防御になります。
この「脆弱性を一件見つけて終わりではなく、発見と修正を継続する」という課題は、WebブラウザやOSでも起きています。AIによる脆弱性探索が進む中で修正側の処理能力が課題になっている事例は、「脆弱性の黙示録」ハッカー文化70年史とAIが暴く“見つけた数”の限界でも取り上げています。
車の安全にクラウドとAPIが加わった
自動車の安全基準では長く、ブレーキ、ステアリング、衝突時の乗員保護といった物理的な機能が扱われてきました。
コネクテッドカーでは、そこにソフトウェア、通信、クラウド、APIの安全性が加わります。
BYDでは車両側、Kiaではディーラー向けWeb/API、Teslaではモデムとインフォテインメント、ToyotaではBluetoothとクラウドから、それぞれ異なる問題が見つかっています。
侵入口が異なれば、必要な防御も変わります。
自動車メーカーが遠隔解錠、位置確認、OTA更新、スマートフォン連携といった機能を増やせば、その機能を成立させる通信経路も増えます。
利用者が車を購入したあとも、メーカー側ではクラウドサービスを運営し、脆弱性を監視し、必要ならソフトウェアを更新し続けなければなりません。
同時に、コネクテッドカーは安全上の命令だけでなく大量の走行データも扱います。位置情報や運転行動がどのように収集・利用されるのかというプライバシーの側面については、車の走行データと個人情報の扱いを調べた記事で、日本の主要メーカーや米国の事例まで整理しています。
「安全な車」という言葉に、ソフトウェアの設計、APIの認証、クラウドの設定、脆弱性への対応体制まで含まれるようになっています。
よくある質問
BYDのShark 6は遠隔から運転そのものを乗っ取られたのですか？
ABCの検証で、ブレーキやカメラなどの重要度が高い機能にはアクセスできませんでした。
確認されたのは、ドアロック、スピーカー、インフォテインメント、ワイパー、ウォッシャー、ヘッドライト、位置追跡、車内マイクなどです。
そのため「車を完全に遠隔操縦できた」とするのは、ABCが確認した範囲を超えます。
日本で販売される車にはサイバーセキュリティ規制がありますか？
日本はUN R155を国内制度へ導入しています。
UNECEによると、OTA対応車では2022年7月から新型車、2024年7月から新規生産車への適用が始まり、OTA非対応車も段階的に対象になっています。
R155はメーカーに、サイバーリスクを継続して管理するCSMSの構築と運用を求めます。
参考・参照元
- ABC News / Four Corners「We got a cybersecurity expert to hack this BYD. It was too easy」
https://www.abc.net.au/news/2026-09-21/byd-hacked-by-cybersecurity-expert-vehicle-sabotage-surveillance/107139482 - Sam Curry「Hacking Kia: Remotely Controlling Cars With Just a License Plate」
https://samcurry.net/hacking-kia - Zero Day Initiative「Pwn2Own Automotive 2024 – Day One Results」
https://www.zerodayinitiative.com/blog/2024/1/24/pwn2own-automotive-2024-day-one-results - Zero Day Initiative「Pwn2Own Automotive 2024 – Day Two Results」
https://www.zerodayinitiative.com/blog/2024/1/24/pwn2own-automotive-2024-day-two-results - トヨタ自動車「Tencent Keen Security Labの自動車サイバーセキュリティ向上への貢献とトヨタ自動車の取り組みについて」
https://global.toyota/jp/newsroom/corporate/32120597.html - トヨタ自動車「クラウド環境の誤設定によるお客様情報の漏洩可能性に関するお詫びとお知らせについて」
https://global.toyota/jp/newsroom/corporate/39174380.html - UNECE「UN Regulations on Cybersecurity and Software Updates」
https://unece.org/media/press/1632 - UNECE「Three landmark UN vehicle regulations enter into force」
https://unece.org/media/transport/Vehicle-Regulations/press/352397 - ISO「ISO/SAE 21434:2021 Road vehicles — Cybersecurity engineering」
https://www.iso.org/standard/70918.html - ISO「Cybersecurity in the driver’s seat」
https://www.iso.org/news/ref2584.html
