なぜ自動車セキュリティの強化は難しい？AI攻撃や量子コンピューターの脅威が迫る中、着手すべき対策とは

自動車の長期使用がセキュリティに与える影響

10年使うクルマ vs. 3年で変えるスマホ

　乗用車は平均10～15年、商用車では20年以上使用されることも珍しくない。この長期使用は、数年おきに買い替えられるITデバイスの更改サイクルと比べると桁違いに長く、セキュリティの観点からは課題となる。発売当時に最新だったCPUやSoC（System on Chip）も、十年後には旧世代となり、暗号プロセッサの計算力やメモリ量は相対的に不足しやすくなる。

　深刻な問題は、部品メーカーの統廃合やサポート切れが発生することである。特定のチップやモジュールを供給していたメーカーが事業撤退した場合、そのチップを搭載した車両のセキュリティアップデートは事実上不可能となる。この「ハードウェア依存の脆弱性」は、自動車業界特有の課題として認識される必要がある。

暗号技術の進歩

　暗号技術の進歩は日進月歩であり、現在安全とされている暗号アルゴリズムも、将来的には破られる可能性がある。たとえば、2000年代初頭に安全とされていたMD5やSHA-1は、現在では脆弱性が指摘され、使用が推奨されていない。同様に、現在主流のRSA暗号やECC（楕円曲線暗号）も、量子コンピューターの実用化により危険に晒される可能性がある。

　車両の長期使用を考慮したとき、発売時に最新だった暗号技術が、車両の寿命の後半では陳腐化している可能性が高い。この問題を解決するためには、ハードウェアを前提としたセキュリティ強化ではなく、ソフトウェア側での継続的な対策が欠かせない。

SDVの複雑化と脆弱性の継続的発見

　SDVが主流となる時代では、ソフトウェアの複雑性とコード量の増加により、潜在的な脆弱性の数も指数関数的に増加している。1億行を超えるといわれる車載ソフトウェアを10年以上の長期間にわたって安全に維持することは、従来のITシステム以上に困難な挑戦だ。

　さらに深刻な問題は、「毎日のように新たな脆弱性が発見される」という現実だろう。膨大なコードベースでは、開発時に見落とされた脆弱性が運用開始後に発見されることも常態化している。また、新たな攻撃手法の登場により、従来は安全とされていたコードが突然脆弱性を抱えることも珍しくない。

　こうした状況は、車両の長期使用と相まって深刻なリスクを生み出している。発売から数年後に発見された脆弱性であっても、その車両は10年以上使用される可能性があるため、継続的な対策が不可欠だ。従来の「出荷時点で完成」という自動車の開発思想は、“SDV時代”においては根本的な見直しが求められている。

実際に起きた攻撃事例から学ぶ

Jeep Cherokee事件（2015）：自動車セキュリティの転換点

　2015年に発生した「Jeep Cherokee事件」は、自動車サイバーセキュリティの歴史における分水嶺となった。この攻撃では、研究者のCharlie MillerとChris Valasekが、Uconnect（ユーコネクト）インフォテインメントシステムの脆弱性を悪用し、インターネット経由で車両の制御系にアクセスすることに成功した。

　攻撃者は携帯電話ネットワークを経由して車両システムに侵入し、情報系から制御系へとアクセスを拡大することで、車両の主要機能を制御できることを実証。この事例は、車載システムにおける情報系と制御系を分離することの重要性を示している。

　この事件を受けて、Chrysler（クライスラー）は140万台のリコールを実施し、数億ドル規模の費用が発生した。しかし、この事例で浮き彫りになった課題は、脆弱性の修正に「リコール」という時間とコストのかかる手段しか選択肢がなかったことであった。

Tesla事例：OTAの威力を見せつけた対応

　Tesla（テスラ）車両では、2022年に研究者が有料オプションのリアシートヒーターの制御に成功した事例があるが、（上記事例と比べて）このときの対応は大きく異なった。攻撃はチップに対する「フォールトインジェクション攻撃」というハードウェア攻撃を悪用したものであったが、TeslaはOTA（Over The Air：ワイヤレスアップデート）で修正パッチを配信し、問題を迅速に解決したからだ。

　この事例は、OTAを導入している自動車メーカーが“セキュリティインシデントによるリスク”を最小化できることを業界に示した。リコールベースの対応では長期間を要する修正が、OTAでは短期間で完了したのである。

その他の事例

　BMW ConnectedDrive事例（2015）では、暗号化が不十分な通信プロトコルを悪用し、中間者攻撃により、“偽のBMWサーバー”になりすまして遠隔解錠が可能であることが研究者により実証された。この事例は、通信経路を適切に暗号化することの重要性を示している。

　また、2019年には車載インフォテインメントシステムの「USBポート」が新たな攻撃経路として注目を集めた。研究者らは、USBメモリを介したマルウェア感染の実証に成功し、“物理的アクセスが可能な”攻撃者による脅威の現実性を浮き彫りにした。この発見は、従来のネットワーク経由の攻撃だけでなく、物理的な接続経路からのセキュリティリスクも考慮する必要性を示唆している。