Volvo/Eicherのフリート管理プラットフォームにおける脆弱性、ユーザーアカウントと車両の制御を可能に
Exploiting Volvo/Eicher's fleet platform to gain control over all users/vehicles
VE Commercial Vehicles(Volvo GroupとEicher Motorsの合弁会社)が提供する商用車向けフリート管理システム「My Eicher」において、APIの脆弱性が発見された。この脆弱性を利用することで、認証されていない内部APIにアクセスし、管理者権限レベルのアクセスやアカウント乗っ取りが可能になる。アカウント乗っ取りにより、数百台の車両を含む個人または企業のフリート全体を制御できるようになる。2024年11月時点で、登録されている車両は27.5万台、顧客は11.5万人とされているが、APIから取得されたデータでは、顧客74.8万人、ユーザー17.4万人、個人67.6万人、車両18.6万人、文書7.6万件(Aadhaarカード、運転免許証など)といった、より多い数字も確認されている。脆弱性は2025年に入って発見され、2025年11月3日に報告された後、同月20日には主要な脆弱性が修正された。記事の公開は2026年7月27日。
- VE Commercial Vehiclesのフリート管理システム「My Eicher」にAPI脆弱性が発見され、管理者権限アクセスやアカウント乗っ取りが可能な状態だった
- 脆弱性により個人・企業のフリート全体(最大数百台の車両)を制御可能で、Aadhaarカードや運転免許証など7.6万件の個人文書が露出した可能性
- 2025年11月3日に報告後、同月20日に主要脆弱性が修正されたが、APIから取得されたデータには顧客74.8万人など公式発表より多い数字が確認された
商用車のコネクテッド化が進む中で、フリート管理システムのAPIセキュリティが重大なビジネスリスクであることを示した事例。Volvo GroupとEicher Motorsの合弁会社という大手OEM傘下のサービスで、個人情報(Aadhaarカードや運転免許証)の露出や車両制御の乗っ取りリスクが現実化した点は、商用車向けSaaS/IoTプラットフォームのセキュリティ評価が投資判断の要素になることを示唆する。特にインドのようなAadhaar連携が進む市場では、規制制裁リスクやブランド毀損リスクが大きく、フリート管理サービスを提供する企業のデューデリジェンスにおいてセキュリティ監査の重要性を再認識させる。