Acrisure KARR BT and DR-100

解説

今回は、自動車の防犯システムに関するセキュリティ脆弱性について解説します。この脆弱性は、複数のデバイスが共通のBluetooth認証キーを使用していることに起因しています。

これにより、近距離から攻撃者が不正なコマンドを発行し、車両機能を無許可で制御できてしまうリスクがあります。

本件は車両制御系に限定されるものであり、自社の情報システム環境へ直接影響する可能性は低いと考えられますが、「共通の認証キー」や「制御システムの分離」という観点から、セキュリティ設計を見直すきっかけとなります。

ポイント

• KARR BT/DR-100の防犯システムが共有Bluetooth認証キーを使用しているため、近距離から無許可コマンド発行のリスクがある。
• ベンダーは脆弱性対策としてファームウェア更新プログラムをリリース済みであり、適用が強く推奨される。
• CISAからは、ネットワークからの隔離やVPN利用の限定など、制御システム全般に対する防御的措置が推奨されている。

情シスへの影響

■ 影響を受ける機器・システム

この脆弱性は自動車に搭載される防犯システム（KARR BTおよびDR-100）に関するものです。

具体的な情シス部門が管理するインフラストラクチャへの直接的な感染リスクは低いと考えられますが、もし社内で同様の「共通認証キー」「近接通信による制御」を利用している内部または外部接続のIoTデバイスやシステムがある場合、設計の見直しが必要です。

■ 対応が必要な知識領域

• ネットワーク管理: 制御系（OT/ICS）と情報系（IT）の分離構造の確認。特にリモートアクセス経路における認証・監視体制の見直し。

• 資産管理・脆弱性管理: 車載システムや関連IoT機器、あるいはそれに類する共通キーを用いる可能性のある社内デバイスのリスクアセスメント。

■ 必要な対応（情シス視点）

この事例は直接的なITシステムへの影響を示すものではありませんが、「制御系の認証情報の共有と利用」というモデルに対し、より厳格な情報セキュリティ管理の重要性を示唆しています。

影響範囲

対象製品：Acrisure KARR BTおよびDR-100（車載防犯システム）

影響範囲：車両機能全般（ドアロック、エンジン制御など）

情シス的な参考領域：共有認証キーを用いるIoTデバイス、OT/ICS環境への外部接続経路、リモートアクセスVPN。

重要度

★★★☆☆

対象者

• セキュリティ担当者
• ネットワーク管理者
• IT運用管理

優先度

様子見

優先度の理由

本件自体は車載システムに限定される脆弱性ですが、「共通認証キーの使用」と「制御系・情報系の分離の重要性」という、情シスが常に意識すべき非常に重要な知見を提供しています。緊急でのパッチ適用を求めるものではなく、自社の設計およびポリシーレビューのための参考情報として位置づけるのが適切です。

確認手順

• 社内または管理下にあるIoTデバイスや制御系システムにおいて、認証キーの共有化が行われていないか洗い出す。
• OTネットワークとITネットワーク間の接続ポイントが適切にファイアウォールで分離され、最小権限の原則が適用されているか確認する。
• リモートアクセス経路（VPNなど）について、必要性・利用範囲・多要素認証の実装状況を再評価する。
• 当該脆弱性の根拠となる「共通キー」の使用プロセスが、他に類するシステム設計に存在しないかをレビューする。
• CISAやベンダーが出す制御系セキュリティに関する最新のベストプラクティス情報を継続的に収集する。