自動車に対するサイバー攻撃はすでに始まっているのか？

概要

ジョン：今日の『The Garage 』では、「Auto Tech Detroit 2024」から生中継でお送りします。今回は、アップストリーム社をゲストに迎え、サイバーセキュリティについてお話しします。さあ、始めましょう。

ジョン：『The Garage 』へようこそ。私は、Sonatus の最高マーケティング責任者（CMO）であるジョン・ハインラインです。現在、Auto Tech Detroit 2024の会場から生放送でお送りしています。本日のゲストは、ジェイソン・マスケルさんです。

ジェイソン・マスケルをご紹介します

ジョン：ジェイソンは、アップストリームの北米ソリューションアーキテクチャ担当ディレクターです。ジェイソン、The Garage へようこそ。

ジェイソン：ここに来られて嬉しいです。

ジョン：私たちはいつも、最初にゲストの方について知ることが好きなんです。ご自身のことやこれまでの経歴について、少しお聞かせください。

ジェイソン：私の専門分野は、ソリューションアーキテクチャとテクノロジーです。技術的なソリューションやデータ、そしてサイバーセキュリティコンサルティングについても、非常に深い知識と経験を有しています。

ジョン：上流の前の段階では、どこにいたの？ 君は素晴らしい経歴を持っていたよね。

ジェイソン：ええ、アップストリームに加わる直前の約2年間は、ほぼもっぱらフォーチュン1000企業に注力していました。つまり、約850社の顧客です。ソリューションの構築まであと一歩のところまで進んでいました。その役職では、経営幹部として従事していました。また、フィールドCTOとしての役割も担い、データインテリジェンスチームを立ち上げて、こうしたデータプロジェクトのいくつかに取り組ませました。

ジョン：素晴らしいですね。ところで、拠点はどこにあるんですか？

ジェイソン：私はデトロイト都市圏のロチェスター・ヒルズを拠点に活動しています。ですから、オートテックに参加できてとても嬉しいです。

ジョン：この街にいる間に、ぜひお会いできればと思っています。

ジェイソン：うん。うん。

ジョン：私たちはいつも、ゲストの方々のことをもっと知りたいと思っています。そこで、いつも「ちょっとした面白いエピソード」を教えてもらうようにお願いしているんです。ご自身について、何か面白いことを教えてください。

ジェイソン：ちょっと面白い話なんだけど。僕のお決まりの話は、テクノロジー業界ではちょっと珍しいかもしれないんだけど、昔、ヤギを16頭飼っていたんだ。

ジョン：ヤギが16匹も！？

ジェイソン：小さなRVファームの敷地外で、主に乳用ヤギを飼っています。娘に健康上の問題があり、新鮮なヤギのミルクが必要だったため、これを家族みんなで取り組むプロジェクトにしたんです。

ジョン：それは素晴らしいですね。近所の人たちの多くは、例えばニワトリを飼えるんですよ。サンノゼでも、ニワトリを2羽くらいなら飼えるんです。私はニワトリは飼っていませんが、あなたのヤギの話には本当に感心しました。信じられないような話ですね。私は新鮮なトマトを育てるのが大好きなんです。だから、たいていの年は育てていて、今年は本当に素晴らしいトマトの苗が育っています。 どうなるかはまだわからないけど。だから夏には素晴らしいトマトが食べられるんだ。5分前に摘んだばかりのフレッシュなトマトに勝るものはないからね。

ジェイソン：いいね。うん。最高だ。カプレーゼサラダが大好きだからね……

ジョン：うん。その通り。

アップストリームのサイバーレポート

ジョン：さて、アップストリームは先ごろ、サイバーセキュリティに関する報告書を発表したばかりですが、その分析結果から導き出された、ちょっと恐ろしい結論をいくつかお聞かせいただけないでしょうか。

ジェイソン：ええ。あのサイバーセキュリティ報告書ですが、2019年から発行し続けています。業界内で多くの反響を呼び、活発な議論を巻き起こしています。その件に関して、経営陣向けのブリーフィングなどを依頼されることも頻繁にあります。そして、今年特に興味深いのは、私たちが「転換点」と見なしている事象について、広く情報を共有している点です。

このように、スマートモビリティが徐々に普及するにつれて、車両もますますスマートになってきており、早い段階から多くの研究活動が見られます。人々は、こうした技術に関心を持ち、次々と問い合わせを寄せてきています。今年明らかになったのは、公表されたインシデントの50％が、単一の車両ではなく、多数の車両に影響を及ぼす可能性を秘めていたということです。

つまり、数千台、場合によっては数百万台もの車両が対象となっており、これは非常に大きな変化です。実際、2021年や2022年といった過去数年間は、その割合はわずか20％に過ぎませんでした。そこで現在、この状況を調査しているところですが、インシデントの95％が遠隔で行われており、そのうち85％は「極遠隔」——つまり大陸をまたぐような——攻撃であることが分かっています。 現在、インシデントの64％がブラックハットによるものであることが確認されています。 また、サイバー脅威も確認されています。そのため、ディープウェブやダークウェブ上の活動を監視していますが、その活動量は150％増加しています。モビリティ分野に対するハッキングやファジングに関する会話や活動が活発化しているのです。つまり、この傾向は加速しており、課題がもたらす影響は劇的に増大しているということです。したがって、私たちの対策もそれに合わせて強化していく必要があります。

ジョン：うわっ、それはすごいね。もしそれで肝を冷やさないなら、一体何なら肝を冷やすんだって話だよ。こうしたサイバー脅威はますます増えていると思うよ。

Upstreamについて

ジョン：彼らにとって、Upstreamを紹介し、こうした脅威の軽減に向けて御社がどのような取り組みを行っているかについて話す絶好の機会だと思います。

ジェイソン：そうですね。Upstreamは2019年から事業を展開しています。当社には、製品ラインナップに関する市場展開の柱となる3つの主要なサービスがあります。その旗艦製品は、モビリティ向けのサイバーセキュリティプラットフォームで、現在、顧客のために2,500万台以上のコネクテッドカーを監視しています。これは、リアルタイムで状況を把握し、バックエンドでのAPI呼び出しやテレメトリデータ、そしてこのエコシステムを構成するあらゆる要素を分析し、それらの相関関係を導き出すことを目的としています。

つまり、私たちがこれを理解する唯一の方法は、こうした出来事や事象が相互に関連しているということなのです。そして、それが今日起きていることの本質です。もし今日、私が攻撃を受けているなら、そのことを知らされ、行動を起こす必要があります。そして、先手を打つために、当社にはサイバー脅威インテリジェンス製品もあります。 これは特にモビリティ分野に特化しており、多数のベンダーやテクノロジーを1つの製品に統合しています。これはS-BOMやH-BOMに関するもので、コンポーネントレベルで何が含まれているかを正確に把握することで、CVEフィードや脆弱性フィードをより適切に監視し、自社製品にどのような影響があるかを把握できるようにするものです。そして、どうすれば先手を打つことができるでしょうか？

それに伴い、脅威アクターの監視も行っています。 ディープウェブやダークウェブを監視しています。また、世論の動向や、詐欺や盗難といった事象も把握するためです。そうすることで、状況の進展を把握できるようになります。つまり、「この脆弱性が自分に影響を与えている」と分かった時点で、対応を急ぐ必要があります。単にその脆弱性が存在し、自分に影響があるだけでなく、他の人々もそれが自分の製品に影響を与えることを知り、今や自分の製品を標的にし始めているという状況になれば、なおさらです。

そのため、事態はさらに差し迫ったものとなっています。とはいえ、そのおかげで先手を打つことができ、サイバーセキュリティ製品が大規模な攻撃を検知する前に、問題を未然に防ぐことができるかもしれません。

ジョン：それは、それは素晴らしいね。

ジェイソン：もう一つのサービスは、モビリティ分野におけるこの専門知識を活かし、いわゆるVSOC（車両セキュリティオペレーションセンター）サービスを提供することです。これは「構築・運用・移管（BOT）」の形態で提供され、多くの場合、独自のSoCを持つ大規模な顧客を対象としています。 独自のサイバープラットフォームをお持ちのお客様に対しては、エスカレーション対応として、レベル2またはレベル3のサポートを提供します。あるいは、モビリティ分野の専門知識が一般的なIT SOCのスキルセットとは異なるため、その知識が必要とされる場面では、完全なマネージドサービスとして提供することも可能です。少し異なる点ですよね。そこで、これらをまとめ、プレイブックの作成を支援し、組織として効果的に機能できるようサポートします。

ジョン：それは素晴らしいですね。自動車メーカーについて話している多くの分野において、メーカー側は、今回のケースのようにサイバーセキュリティといった、本来自社にはない専門分野を取り入れる必要に迫られていると思います。例えば、自社車両の運用に関する専門知識は持っているかもしれませんが、こうした脅威への対応となると、おそらくそのスキルセットには含まれていないでしょう。ですから、あなたのようなパートナーを巻き込むことは役立つはずです。

ジェイソン：そうですね、僕たちはよくそういう動きを支援しています。つまり、製品部門とサイバー部門をどのようにしてより密接に結びつけ、より実務的な協力関係を築いていくか、ということです。 そうですね。結局のところ、私たちが開発しているのは組織的な能力であり、それは組織の変革と非常に似ています。自動車業界にとっては非常に大きな変化ですよね？スマートカーの開発を始めた際、車両にハイテクな機能を組み込むための新しい能力が必要になりました。同時に、それを安全に実現するための能力や熟練度も必要だったわけです。

OEMの強みとサイバー脅威

ジョン：OEM業界の現状について、どのようにお考えですか？ここでは具体的な社名は挙げませんが、大まかに言って、OEM各社は状況をある程度理解していると思いますか？こうした脅威を認識しているのでしょうか？また、御社の製品のような必要な改善を行うために、OEM各社はどの程度一丸となって取り組んでいるとお考えですか？

ジェイソン：それは興味深いですね。実は、僕たちはその点を詳しく分析してみたんです。もちろん、大手自動車メーカーにはすべて話を聞きましたし、非常に小規模なメーカーやスタートアップの自動車メーカーにも話を聞きました。そして、この問題を、組織の規模や従業員数、資金力といった観点から検討してみたんです。

これは、実際に道路上で走行している車両の台数という観点から、車両保有台数として捉えることができます。興味深いのは、その規模や運用態勢が、セキュリティや運用能力を予測する指標にはならないという点です。というのも、実際にはさまざまな規模や運用態勢の事例が見られるからです。その観点から考えると、私たちが最終的に開発しているのは、そうした課題の解決に役立つツールを喜んで提供できるような能力なのです。

でも、その作業において組織としての効率性も高めているわけですよね？ 開発中のAPIなどで、どのように「シフトレフト」を進めているのか？ そして、それを安全な方法で実現したいと考えています。そのためには、サイバーセキュリティ部門との良好な関係が不可欠で、「あ、見落としがあった。これを開発サイクルに組み込む必要がある」と率直に伝え合える関係が必要ですよね？

そして、それを実現するためには……とにかく時間がかかるものです。だから、落ち込まないでください。まずは始めることです。そして、それは時間とともに上達していくものです。私たちがスマートカーの技術そのものを開発してきたのと同じように。

ジョン：つまり、この取り組みに本格的に乗り出しているグループもあれば、まだ準備を進めている段階のグループもある、といった幅広い状況があるということですね。

ジェイソン：そうですね、その背景にはさまざまな要因があります……。例えば海外では、ここ数年、コンプライアンスが大きな要因となっています。ご存知のように、国連やISO、そしてEUなどが定めたセキュリティ要件に準拠する必要があるからです。 米国国内では、コンプライアンスによる推進はそれほど強くありませんが、その重要性は認識されており、今後必要になるかもしれないという意識もあります。一方で、インシデントがきっかけとなるケースも少なくありません。例えば、優れたAPIやアプリの機能を公開したものの、人々がそれを悪用したために問題が発生しているといった具合です。 つまり、推進の原動力は様々な分野から生じています。意識を高めるきっかけも様々です。しかし、最終的には、一度意識が芽生えれば、それが広がり、成長し、時間の経過とともに改善されていくものだと私は考えています。

車載ソフトウェアとSDV

ジョン：これはソフトウェアについて話す良い機会かもしれませんね。ご存知の通り、ここ「オート・テック・デトロイト」の展示会の多くはソフトウェアがテーマとなっています。もちろん、このポッドキャストも、Sonatus 全体も、その焦点は車両用ソフトウェアにあります。そして、ソフトウェア定義車両への移行を加速させることにも注力しています。 私の考えですが――ぜひあなたの見解も聞かせてほしいのですが――車両にソフトウェアを導入する機会は、こうした課題の解決に役立つ重要なソフトウェアを実装する絶好のチャンスだと思います。SDV（ソフトウェア定義車両）とこの問題について、あなたはどうお考えですか？

ジェイソン：つまり、SDVは、経済的な面だけでなく、OTAアップデートと、車両を回収して変更を加えるような全面的なリコールとを比較した場合、非常に大きな影響をもたらすんですよね。また、セキュリティ体制にも大きな影響を及ぼします。もしこうした変更が可能であれば……私たちは……観察できるデータの質が、私たちの能力の限界を決めるのです。

私たちはデータを生成するのではなく、データや事象を分析するのです。 そうですよね？ つまり、特定のテレメトリデータを用いることで、その精緻さが増していくのです。そして、それはそのテレメトリのコストとのバランスが重要ですよね？ ですから、SDV（ソフトウェア定義車両）においては、当然ながら、その微調整や修正をリアルタイムで行えるようになれば、さらに良いのです。これまで話してきたように、車両側にはSonatus のような機能があり、クラウド上の分析システムにはUpstreamのような機能があるわけです。 もしこれら2つの間に相乗効果を生み出し、その点で真に連携させることができれば理想的です。結局のところ、車載環境で実行・監視するのが最適なこともあれば、クラウド環境で実行・監視するのが最適なこともあるからです。そうすることで、両者を同時に最適化することになるのです。

脅威に関するより質の高いデータ

ジョン：つまり……そこから2つの点を挙げたいと思います。1つ目は、SDVには確かな可能性がありますが、そこには複数の側面があるということです。その1つは、最初からより質の高いデータを生成できれば、より良いデータと車両全体の可視性の向上によって、干し草の山から針を見つけるように、あるいは脅威をより迅速に特定できるということです。

ジェイソン：ええ、その通りです。これは一連のプロセスなんです。というのも、結局のところ、私たちが日常的に目にする事象は当然ながら自動化されているからです。ですから、そういったことについてはそれほど心配していません。でも、何か新しい事象に遭遇したとき、「もしこの指標があれば、もっと早い段階で予測できたのに」と思うことがあります。今では、その場で調整を加えることができるので、より良い相乗効果が生まれています。

脅威に対応するためのアップグレード

ジョン：そうですね。そのコインのもう片面は、アップグレード可能性という利点から、SDVにもあるんです。これは、より優れた運転支援機能などを提供するという点でよく考えられがちですが、サイバーセキュリティの分野にも及んでいます。つまり、脅威や、例えばゼロデイ攻撃などが発生した場合、従来は長い時間を待つか、車両をサービスセンターに持ち込んで再フラッシュする必要がありました。 今では、こうした脅威を軽減するために、はるかに迅速に対応できるだけでなく、場合によっては予防的な措置を講じることも可能になりました。

ジェイソン：その通りです。今後どうなっていくかと言えば、自動化の面ではすでにかなりうまくいっていると思います。例えば、APIを不正に使用しているユーザーがいるとします。その場合、自動車向けクラウド上で直接自動化処理を構築し、「よし、その認証情報をブロックしよう。そのリクエストを拒否しよう」といった対応ができるのです。

クラウドから車両自体に対して、物理的な攻撃や、BluetoothやWi-Fiを介した攻撃などに対して、ネイティブに実行できることは限られています。そうですね。 ですから、そうしたケースにおいては、SDVで開発が進められている機能は非常に柔軟性が高く、現在クラウド上で実現できているのと同じようなことを車両側でも行える可能性があると思います。例えば、「誰かがWi-Fiを使っているなら、しばらくの間SSIDのスキャンを停止しよう」といった具合に。このように、両方の領域で機能が向上していくのは素晴らしいことです。これにより、本当に堅牢なソリューションが構築されると思います。

何もしないことによるリスク

ジョン：それは素晴らしいですね。ただ、ここでどんなリスクがあるのかな？もし、もし、もしこれを正しく行わなかった場合、コンプライアンス違反によるリスクや、どんなデメリットがあるのでしょうか？

ジェイソン：うん。つまり、海外ではそういうことなんだよね。コンプライアンスは直接的な財務上の問題だから、測定するのがすごく簡単なんだ。セキュリティに関しては、昔からずっと曖昧さが付きまとうよね。保険みたいなものさ。例えば、外出する時に一番安い保険に加入したとして、いざ事故が起きたら、「ああ、倍の保険料を払う羽目になった」ってことになる。 結果的に、最も高額な保険を払う羽目になるんだ。そして、もし本当に運が悪ければ、二度とその種の事故は起きず、保険料を無駄に払うだけになる。だから、僕たちはそれを解決するための同じような仕組みを提供しているんだ。分析というものは、結局のところ相関関係なんだ。だから、僕たちは企業と協力して、こうした負担の一部を軽減し、そこからより測定可能な成果を引き出せるようにしている。 例えば、車両の品質予測について言えば、リコールが発生する可能性がある場合、それを早期に把握できれば、OEM顧客の多くが指摘するように、莫大な財務的影響を回避できます。こうした支援を通じて、具体的かつ目に見える成果を示すことで、さらなる投資の正当化が可能になるのです。

そうですよね？ だから、その問題を解決するための他の方法を模索するわけです。でももちろん、例えば転換点のような局面では、これが……という状況を見極めたら、「今後、これが評判にどのような影響を与えるのか」を考えなければなりません。顧客のことを、絶対に考慮に入れなければなりません……

ハッキングにより顧客の信頼が損なわれる

ジョン：やはり消費者の信頼ですね。というのも、ここ数年、具体的な名前は挙げませんが、有名なセキュリティ侵害事件がいくつかあり、さまざまな車種がハッキングされたからです。それによって、消費者は「この車は本当に安全なのか？」と少し考え込んでしまうのではないでしょうか。そして、それが購入行動に影響を及ぼす可能性もあると思います。

ジェイソン：うん。実はね、個人的な話なんだけど、こういうことを知ると人によって反応はさまざまで、確かに「トランジスタラジオみたいなのが付いてるだけの車が欲しいんだ。スマートな機能なんていらない。 「追跡されてるし、もしかしたら誰かにあそこへ追い出されちゃうんじゃないか？」ってね。そういう恐怖心が表に出てくるんだ。メディアやエンターテインメントも、Netflixのクリエイティブなシナリオなんかで、僕たちが目にするこの現象を、ある意味で増幅させているんだ。

SDVはより安全になる可能性がある

ジョン：それに、彼らはマイナス面ばかりを大げさに取り上げている。実際はそんなことじゃない。 映画で見るような話じゃないけど、面白いと思うんだ。だって、一般の人が昔ながらのラジオに戻ったりはしないだろうし。むしろ、もし僕たちが……そう、今週の初めにポッドキャストにゲストを招いたんだけど、その人が皮肉にも「ソフトウェア定義車両」についてこう言っていたんだ。「うわっ、怖すぎる。 ソフトウェアが大量に使われているし、大きな脅威だ！」と言うでしょう。でも、いいえ、車にはすでにソフトウェアが搭載されています。しかも、それは保護されていません。ですから、実際には「ソフトウェア定義車両」の方が安全になる可能性があります。なぜなら、脅威をより早く発見できるからです。そして、その脅威を軽減することも可能になるでしょう。ですから、このことに対する人々の見方を変えて、これが間違った方向ではなく、正しい方向だと考えてもらえることを願っています。

ジェイソン：その通りです。それは一つのプロセスであり、成熟の過程でもあります。他のテクノロジーや分野でも見られたことのある現象です。 そうですね。かつては、ネットで何かを注文するのはとても不安だった時期もありましたよね？でも、今ではみんな、かなり慣れていると思います。ですから、時間がかかるものです。ある程度の自制心と注意も必要です。でも、私たちみんながサポートするためにここにいるんですし、この能力は時間とともに向上していくと思います。

最近の脅威の例

ジョン：あなたはまさに舞台裏で、こうした脅威がどのように変化していくかを目の当たりにしているわけですから、皆さんが発見した脅威の具体例をいくつか教えていただけないでしょうか。

ジェイソン：うん。そういうのはいつも興味深いよね。そうだろう？ こういうのが出てくるんだけど、これまでその相関関係について、こういう視点や洞察がなかった場合は、明らかにすごく興味深いんだ。でも、僕たちは確かにそれを目にして、阻止することもできた……もちろん、研究者たちも、僕たちにはそれがわかるんだ。まるで「やあ、サム・カリー」って感じさ。 ほら、またあいつだ。僕たちにはそれが検知できる。でも、以前どこかで言ったように、僕たちは複数の車両を乗っ取ろうとするこの種の攻撃を阻止しているんだ。 そして最近、当社の脅威インテリジェンスを通じて、あるOEMから「彼らがどうやって……ダークウェブでこれを提供しているのか、本当に見当もつかない」という問い合わせがありました。「インフォテインメントへの完全なアクセス権を売ります」といったようなことを、一体どうやってやっているのか、ということです。 そこで調査に乗り出し、ある車両に対して（あくまで依頼を受けてのことであり、決して遊び半分でハッキングしているわけではありません）観察を続けたところ、実はこれは内部から行われていること、つまり内部の誰かがこっそりと金儲けをしていることが判明しました。 システムを使って生成できる診断トークンがあるんですが、それが生成されるのを目の当たりにし、そのまさに同じトークンが共有されるのを見られるんです。それは本当に信じられないことです。

ジョン：つまり、君は脅威と向き合っているわけだ。まるで、その、そう、向き合って、「おい、一体どうしてこんなことになってるんだ？」って問いかけながら、その過程が展開していくのを見守っているような感じだね。

ジェイソン：うん。リアルタイムでね。だから、時には調査が必要になることもある。そういうやり方しかないとね。 そう、他にも攻撃の例があって、僕らは実際に、誰かがインジェクション攻撃を実行できたことを特定できたんだ。その車両が常にSSIDをスキャンしていることを突き止めたから、SSIDをインジェクションとなるような値に設定するだけで、インジェクション攻撃を成功させることができたんだ。 そうですね。しかし、私たちは車両から送信されたテレメトリデータに基づいて、その事実を確認することができました。

攻撃対象としてのワイヤレス

ジョン：とても興味深いですね。つまり、こうしたワイヤレス接続は、大きなメリットをもたらす一方で、リスクの原因にもなり得るということですね。

ジェイソン：ええ、その通りですね。それに、もっと恐ろしいのは、それが実際に発生するまでの間に、かなりの時間差が生じ得るということだと思います。私たちはテレメトリを監視し、不審な兆候を照合しているので、ある意味すぐに気づくことができますが、気づく前に、そうした事態がどこまで、そしてなぜ広がってしまうのか、誰にも分からないのです。

ジョン：それが、私たちがこれほど重視している理由の一つなんです。そして、私たちの強みの一つといえば、車両に関する非常にきめ細かなデータ可視化ですね。これまで以上に深く掘り下げて調査することが可能です。また、データ分析を非常に迅速に適応させることもできます。というのも、車両に関するいわゆる「データに関する質問」を投げかけた後、実は別の質問をする必要があると気づくことがあるからです。 もしその質問を変更するのにかかる時間が非常に長ければ、それは問題です。しかし、私たちは数分あるいは数時間でその質問を変更することができ、脅威が急速に拡大している状況下でも、非常に速い学習サイクルを実現できるのです。

ジェイソン：その通りですね。転換点についてしつこく言いたくはないんですが、まさに……今はこれまで以上に時間が重要になっているんです。そうですね。ですから、このレベルを引き上げられるかどうかが、あらゆる面で良い態勢を整えるために、極めて重要だと思います。

結論

ジョン：さて、ジェイソン、君に私たちを死ぬほど驚かせたことはさておき、それ以外は本当に楽しい会話だったよ。それに、この番組にゲストとして来てくれて、本当に感謝している。どうもありがとう。

ジェイソン：ええ、その通りです。こうしてつながることができて良かったです。そして、こうして話せてよかったです。本当に素晴らしい会話でした。

ジョン：『The Garage 』の動画をお楽しみいただけましたら、ぜひ「いいね」とチャンネル登録をお願いします。そうすれば、『Auto Tech Detroit』の動画や、自宅のガレージで撮影した今シーズンのエピソードをもっとお楽しみいただけます。『The Garage 』の次のエピソードでも、またお会いできるのを楽しみにしています。