RedLockは、テスラ車が搭載するKubernetesプラットフォームのコンソールには外部からパスワードなしでアクセスでき、テスラ車が利用するAmazon Web Services(AWS)へのアクセス情報を取得していたと報告しています。

悪意あるハッカーはその情報をもとにスクリプトを利用して、テスラのクラウドリソースからテレメトリなどの機密データを保管するAmazon S3サービスに侵入、テスラ車オーナーの走行データなどにも到達していた模様。

さらに、テスラが利用するこのクラウド上にマイニングプールをインストールし、テスラ車のKubernetesプラットフォームの一部にはマイニングツールを仕掛けて暗号通貨の採掘も行っていたとのこと。この際、マイニングプールは発見されにくいようCloudflareを介して外部と接続し、マイニングツールはCPU負荷を最低限に抑えて機能していたとされます。

RedLockは、問題発見後すみやかにテスラに警告し、EVメーカーはすぐにパッチを用意、配布しました。記事執筆時点では、ハッカーがアクセスできた機密情報の内容は明らかになっていないものの、テスラの顧客プライバシーに関する情報は含まれないとのことです。

近年の自動車はインターネット接続を備えているものも多く、ネット接続しているからにはどんな機器でもセキュリティの確保は必要です。自動車業界でも一時期コネクテッドカーを標的としたハッキングが話題となり、ハンドルやアクセルまで遠隔操作可能にされる事例もありました。ただ、最もコネクテッドカーの利点を活用しているともいえるテスラがこれでは、自動車業界全体にさらなるセキュリティ意識の改善が求められることになりそうです。

ちなみにテスラは今回の件に対して声明を発表、「我々はこの手の研究を積み重ねるためバグ報奨金制度を維持しています。今回の脆弱性に対しては報告を受けてから数時間で対処しました。また、この件による影響は、テスラ内部で使用されるエンジニアリングテスト車に限られていたようであり、初期調査において顧客のプライバシーや車両の安全を危殆化するような兆候は確認されていません」としています。