イントロダクション：なぜ今、IVIとOTAが狙われるのか
車両はソフトウェア定義化が進み、IVI（インフォテインメント）やOTA更新機構は機能追加・修正の中心になりました。その一方で、OTA配送パイプライン、IVIアプリ、Bluetoothやモバイル接続は新たな攻撃面（攻撃ベクター）を提供します。実際に、OTAやIVIの脆弱性を起点としたリスクは報告が相次ぎ、サプライチェーンやリモート経由での侵害が現実的な脅威になっています。
この記事では（1）代表的な侵入経路と攻撃チェーン、（2）フォレンジックで押さえるべき証拠、（3）現場で実行可能な即応・防御策を整理し、技術担当者やSOC/CSIRTが現場で使える知見を提供します。
侵入経路と代表的手口（技術的解説）
IVI/OTAに対する攻撃は大きく分けて「リモート経由」と「ローカル経由」に分かれます。以下に代表的な攻撃シナリオと技術的要点を示します。
1. リモート経由（クラウド・テレマティクス・OTA）
- OTAサーバやCI/CDパイプラインの供給連鎖を狙った挿入（サプライチェーン攻撃）。配信パッケージが改ざんされると大量車両の同時侵害が可能です。Uptaneや署名検証の欠如・不備は致命的です。
- クラウド認証の脆弱性やAPIキー漏洩により、認証済みの更新リクエストを偽装する攻撃。
- 中間者（MitM）攻撃で配信中のバイナリを差し替える手法。証明書／鍵の管理不備で成功します。
2. ローカル経由（Bluetooth、USB、ADB、物理アクセス）
- Bluetoothスタックやペアリング実装の脆弱性からIVIに接続し、アプリ経由で権限昇格する事例が報告されています。特にカスタムBluetooth実装はチェーン化でRCE（リモートコード実行）に繋がることがあります。
- USB/SDカード経由で改ざんされたファームウェアやアップデートファイルを読み込ませる手口。工場出荷設定や開発オプションの未封印は危険です。
- IVI上のアプリ脆弱性（例：入力検証不備、シリアライズ処理の欠陥）を突いてローカルからCANバスへピボットする攻撃事例もあるため、IVIは単なる“メディア端末”ではなく車両制御へ影響を与え得ます。実際にメーカーのIVI脆弱性がファームウェア改ざんに繋がった報告があります。
フォレンジックで押さえるべき証拠ポイントと収集手順
IVI/OTA侵害のフォレンジックはレイヤーが多く、適切な証拠収集順序と整合性確保が重要です。以下は現場で優先度の高い収集ポイントと実務手順です。
優先的に収集すべきログとデータ
| カテゴリ | 例 | 理由 |
|---|---|---|
| OTA/アップデート履歴 | 配信タイムスタンプ、署名ハッシュ、バージョン情報 | 改ざんの痕跡／配信元の追跡に必須 |
| IVIファイルシステム | /var/log、アプリデータ、設定ファイル、変更されたバイナリ | 不正バイナリ・永続化ポイントの確認 |
| テレマティクス・クラウドログ | APIリクエスト履歴、認証失敗ログ、デバイス登録ログ | 遠隔操作や認証の異常を確認 |
| ネットワークトラフィック | PCAP、VPN/プロキシログ | 外部C2の通信やデータ漏えいの追跡 |
| CAN/車内バスログ | ECU間通信ログ、リプレイ可能なメッセージ | 操舵/ブレーキ等への影響評価 |
収集時の注意点：現場での電源操作は証拠を上書きする可能性があるため、まずは記録を残しつつメモリダンプやログの保全を行います。IVIは書き込みが即時反映されやすいため、イメージ作成（ブロッキングマウントまたは読み取り専用コピー）で整合性を守ることが重要です。最近の研究でもIVIファームウェアやハードコードされた資格情報が調査で重要な証拠になっていることが示されています。
現場で即実施できる防御・運用対策（チェックリスト）
以下は優先度を付けた実務的な対策リストです。すべての対策を一度に行うのは難しいため、リスクと資産価値に応じて段階的に導入してください。
- 署名と検証の徹底：ファームウェアとアプリは強力な署名／タイムスタンプを付与し、車載側で署名検証・リプレイ防止を義務化する（Uptane等のベストプラクティス参照）。
- 鍵管理とローテーション：公開鍵基盤（PKI）とハードウェアセキュリティモジュール（HSM）で秘密鍵を厳格に管理し、侵害発生時に迅速に鍵ローテーションできる体制を整備する。
- ネットワーク分離とフィルタリング：IVI・テレマティクス・安全クリティカルECU間は論理的に分離し、必要最小限の通信のみ許可する。出力方向のトラフィックはC2検知ルールで監視。
- ソフトウェアサプライチェーン監視：サードパーティ製ミドルウェアやライブラリの更新を追跡し、CI/CDでのサプライチェーン整合チェック（署名、SBOMの利用）を実装する。
- IVI固有の検出ルールとテレメトリ取り込み：IVIのログ、プロセスリスト、シグネチャ（YARA等）をEDRに取り込み、異常通信やプロセス改変をリアルタイム検知する。
- 現場対応手順（IR playbook）：攻撃検知時は被害拡大防止のためOTA配信停止、関連APIキー無効化、影響車両のリモート隔離（可能なら）を即座に実施する。フォレンジックは専任チームで保全・解析し、法務・規制対応を並行する。
- 教育と演習：工場・サービス拠点での物理アクセス管理、従業員向けの脆弱性認識教育、インシデント演習を実施する。
自動車業界に対する攻撃は増加傾向にあり、ランサムウェアや供給網を利用した大規模侵害の報告もあります。実務では"防ぐ・検知する・封じ込める・復旧する"を短時間で回すことが求められます。
結論：IVI・OTAは利便性とリスクの両面を持つため、設計段階からのセキュリティ（設計防御）と、現場での迅速なフォレンジック・インシデント対応能力の両方が不可欠です。標準（Uptane等）や過去の脆弱性事例を踏まえ、実務レベルでの防御体制と証拠保全手順を整備してください。