フォルクスワーゲン：80万台の電気自動車の位置データがオンラインでアクセス可能

クラウド サーバーの設定が間違っていたため、2024 年の数か月間、80 万台のフォルクスワーゲン グループの電気自動車の追跡データが一般公開されました。この欠陥は、フォルクスワーゲン グループの子会社で、フォルクスワーゲン グループのアプリ管理を手掛ける Cariad 社による技術的ミスによって引き起こされました。さまざまなブランドを収集し、車の追跡および分析データを収集します。による調査で判明した。 鏡ある報告書を受けて、カオス コンピューター クラブ (CCC) の研究者と共同で実施されました。 内部告発者 匿名。影響を受けるモデルには、フォルクスワーゲン ID シリーズの車だけでなく、シュコダ、セアト、アウディ ブランドの車も含まれます。

この情報は、電気自動車のさまざまな使用状況や位置パラメータを管理できるフォルクスワーゲン アプリから得られたものです。アプリは車の発進時と停止時にGPS位置を記録するため、そのデータを解析することで、非常に正確なオーナーの移動履歴を再構築することができました。 460,000 台の車、特にフォルクスワーゲンとセアトのデータは非常に正確で、車の位置を 10 センチメートル以内で推定することができました。場合によっては、対応する連絡先の詳細を追跡することも可能で、車両の特定と所有者との関連付けが容易になりました。

クリアファイル
CCC の研究者は、Cariad に起因するいくつかの Web サイトを発見し、そこからファイルを保存するためのいくつかのパスを再構築することができました。この中には、パスワードなしの平文で、同社のアプリケーションの一部のメモリ ダンプのコピーも含まれていました。これらのファイルから、車の位置データが保存されている Amazon のクラウド ストレージ システムへのアクセス データを発見することが最終的に可能になりました。

研究者らの説明によると、情報にアクセスできた攻撃者は、車の位置データと地図を相互参照するだけで、所有者の生活習慣や習慣を簡単に推測できたという。たとえば、諜報機関の本部、大使館、恋人のアパート、集会所、デトックスセンターなど、デリケートな場所やスキャンダラスな場所の前にある通常の駐車場を再建することも可能だったでしょう。

地理的にローカライズされた政治家と警察
調査目的で、利害関係者の許可を得て、CCCの研究者とシュピーゲルのジャーナリストは、2人のドイツの政治家、ニーダーザクセン州議会議員に緑の党とともに選出されたトステット市長のナジャ・ヴァイペルトとCDU議員のマルクス・グリューベルの動向に関するデータを追跡した。連邦議会の。

データから、たとえば、グリューベルのフォルクスワーゲンは、彼の父親が住んでいる老人ホームの前だけでなく、軍の兵舎の前にもよく駐車されていたことがわかりました。グリューベル氏は現在国防委員会の委員であり、2018年まで国防省の国務長官を務めていた。

ヴァイパートさんの場合、データはオルデンブルクの議会への移動、トステッドの市庁舎前、スポーツクラブの近く、パン屋の前、理学療法士のオフィスに駐車したことを示している。ヴァイパート氏とグリューベル氏に加えて、ジャーナリストと研究者らは、他の多くの政治家、起業家、潜在的な秘密諜報員、そしてハンブルク警察の35台の電気フォルクスワーゲン・パトカーのデータを追跡することに成功した。

企業の対応
11月26日、CCCチームはカリアド、フォルクスワーゲン、地方および連邦当局に通知し、当局は両社に対し30日以内に問題を解決するよう命じた。 Cariad は、CCC がインシデントを公的に明らかにする前に、構成のバグを修正することで直ちに措置を講じました。

Chaos Computer Clubの広報担当者Linus Neumann氏は、この欠陥を「小さすぎる玄関マットの下に大量の家の鍵が放置されている」と定義した。一方、カリアド社は、初期分析によれば、シュピーゲルの研究者とジャーナリスト以外には誰もデータにアクセスできなかったと断言した。

フォルクスワーゲンは広報担当者を通じて、「CCCはいくつかのセキュリティメカニズムを回避することによってのみ、一部のユーザーのデータについて結論を導き出すことができた。それには高度な専門知識と多大な時間の投資、そして異なるデータセットの組み合わせが必要だった」と述べた。

しかし、ドイツのグループにとって、この事件は深刻な困難の瞬間に、今度はプライバシーに関するさらなる失策を意味する。クリスマスの直前に、労働組合との激しい交渉の末、同社は発表されたドイツの 3 つの工場閉鎖を放棄したが、 35,000人の人員削減。