プラットフォームに、深刻な脆弱性が存在していたことが判明した。この脆弱性を発見したセキュリティ研究者によると、メキシコの顧客の個人情報にアクセスが可能だったという。アプリケーションは、組織全体として顧客データを集約しており、個人情報/購入履歴/サービス内容などの、全ての顧客情報を一元的に把握するためのものだ。分析する中で、本番データにアクセスできることを発見した。うちの、開発用アプリを改変することだった。アプリケーションの認証をバイパスして、氏名/住所/電話番号/Eメール/車両履歴/購入履歴/サービス内容/納税者番号などの、顧客データへのアクセスに成功した。コードを変更することで、認証をバイパスできることだった。認証トークンを必要とせず、整形式のリクエストを送信すればデータを返したとのことだ。すべての環境で公開されていたという。使用しているが、開発アプリのコードに含まれていなければ、発見は不可能だったと思われる。変更が行われたことで、本番データへのアクセスが可能になった」と指摘している。登録されている顧客の数は把握することができなかったという。この問題についてトヨタ自動車に報告しており、同社は3週間も経たないうちに脆弱性を修正した。更新することで、この問題を解決した」と説明している。ポータルにおける、数千の従業員/パートナーのユーザー・アカウントへのアクセスを提供し、機密データの流出/改ざんを可能にする脆弱性も公表している。エンドポイントへとたどり着き、そこからのハッキングが可能になったという、とても重要な情報が得られたわけです。した侵入ベクターが解明され、広く共有されていくことは、とても意味深いことだと思います。サプライヤー・ポータルに侵入:機密データへのアクセス方法を研究者が報告」を、ご参照ください。