電動スクーターの遠隔ロック解除:認証と権限不備の脆弱性

あるセキュリティ研究者が、電動スクーターシェアリング企業のシステムに存在する認証と権限管理の不備を突いて、遠隔からスクーターのロック解除を可能にする脆弱性を発見した。この脆弱性は、WordPressサイトの公開APIから発見された管理者ユーザー名と、パスワード推測によるオペレーター向け管理パネルへの不正ログインから始まった。管理パネルでは、車両の位置情報、ユーザーデータ、財務情報などへのアクセスが可能であり、さらに車両のロック/アンロックやIoTデバイスへのコマンド送信も可能であることが確認された。この脆弱性は、多要素認証やコマンド実行時の追加確認がなく、単一の管理者認証情報が漏洩した場合、不正利用や物理的リスクにつながる可能性があると指摘されている。研究者は、高度な技術ではなく、サブドメインの列挙、公開情報の利用、弱いパスワードといった基本的な攻撃手法でこの脆弱性を発見したと述べている。