WIREDPR米国ではシェアリングサーヴィスでも人気の電動キックスケーター。その人気モデルに脆弱性が見つかった。ハッキングされるとスマートフォンから自在に操作可能になり、人が乗っていても急ブレーキをかけたりできるようになるというのだ。アップデートが配布される前の脆弱性だが、セキュリティ企業があえて公表に踏み切ったのには、ある事情があった。XIAOMI混雑した街を走り回る大量の電動キックスケーターを想像してみよう。これだけでも十分に危ない感じがするが、さらにハッキングのリスクが存在することが明らかになった。M365」のシステムに脆弱性があることを発見したのだ。悪用すればブレーキや加速を含めた基本操作すべてを遠隔で行うことも可能だという。PRZimperiumでソフトウェアリサーチを担当するラニ・イダンは、M365のシステムの確認を始めてから数時間でこの問題に気づき、実際にハッキングできるか試してみた。システムはバッテリー管理のためのプログラム、ハードウェアとソフトウェアの調整を行うファームウェア、スマートフォンのアプリからの操作を可能にするBluetooth関連のモジュールから構成されるが、セキュリティホールが存在するのはこのBluetooth関連の部分だ。PRBluetooth周りの“穴”を突かれる具体的には、Bluetooth経由でシステムに接続する場合にパスワード認証を迂回することが可能で、デヴァイスを騙してマルウェアを含んだファームウェアをインストールできる。システムはそれがシャオミの正式なアップデートかをチェックしないという。イダンは「どんな操作でも認証なしでできます。急ブレーキをかけたり、クルマが渋滞している場所に突っ込むといったことも可能です」と話す。PRBluetooth周りのセキュリティーリスクは、以前から頻繁に指摘されている。IoTデヴァイスで認証システムの不備が狙われることは珍しくない。ソフトウェアやファームウェアの更新において、それが本当に製造元から配信されたアップデートなのかを確認するプロセス(「インテグリティーチェック」と呼ばれる)も盲点になっていることが多いという。結果として、今回のようにユーザーの生命が危険にさらされることすらあるのだ。miniPRO」が同種の脆弱性を悪用したハッキングによって、遠隔から操作できることが明らかになったことがある。この問題を受けてセグウェイの親会社である中国のナインボットは、数カ月で修正パッチを配布した。Zimperiumは今回の発見について、より大きな不安を抱いている。オミに連絡をとったところ、セキュリティホールの存在は認識しているが、Bluetooth周りのシステムの開発は他社に外注したため、自分たちだけで修正プログラムを用意することはできないと言われたからだ。PRシャオミは「社内では知られている問題で、共有もしている。サードパーティーと協力して開発した製品で、解決策を見つけるために該当企業と連絡をとり合っている」と回答したという。この点についてシャオミにコメントを求めたが、回答は得られていない。M365は、いまも悪意のある攻撃に対して無防備なままなのだ。スマートフォンの専用アプリにはAndroid版とiOS版があり、どちらもパスワードを設定するオプションは用意されている。Zimperiumのイダンが安全性の概念実証(PoC)を行なったところ、パスワードが設定してあってもBluetooth以外の接続では認証の必要はなかった。PR身の回りのデヴァイスに潜むリスクこうした背景もあり、Zimperiumは問題の深刻さを知ってもらうために、修正パッチなどが配布されていない状況でこの脆弱性について公開する措置に出たのだ。Zimperiumの最高技術責任者(CTO)のジョン・マイケルセンは、メーカーなどの製造元が本気で対策に取り組もうとしないとき、セキュリティ企業が唯一できることは情報公開だと説明する。M365は非常に人気のあるモデルで、電動キックスケーターのシェアリングサーヴィスでも使われている。電動キックスケーターシェア大手のBirdの場合、最初に採用したのはM365だったが、現在はこのモデルの数を減らしている。理由は明らかにしていないが、脆弱性が見つかったこととは無関係だという。PRZimperiumのイダンは次のように警告する。「IoTデヴァイスは、いまや身の回りのいたるところに存在します。家庭で日常的に使われている製品が、非常に機密性の高い個人情報をやりとりしているのです。消費者はこうしたデヴァイスには厳重なセキュリティがかけられているはずだと信じていますが、残念なことに必ずしもそうとは限りません」この脆弱性の結果として起こり得る事態を考えれば、シャオミはいますぐ対策を取る必要がある。ユーザーはプログラムを常に最新版にアップデートしておくことはもちろん、電動キックスケーターに乗るときには危険防止のためにヘルメットを着用してほしい。