列車の脱線など大事故を引き起こすリスクがある脆弱性 13年前から放置か：Cybersecurity Dive

今回見つかったブレーキシステムにおける重大な脆弱性を悪用すれば、ハッカーは無線信号を不正に操作できる。これによって列車が突然停止したり、脱線したりなど大事故につながる可能性がある。この脆弱性は13年間放置されていた。

[Eric Geller，Cybersecurity Dive]

　新たに判明した列車のブレーキシステムの脆弱（ぜいじゃく）性により、ハッカーは比較的安価で簡単な機器を使って遠隔から列車を停止させることが可能になり、脱線などの重大な事故を引き起こす恐れがある。

　「CVE-2025-1727」として追跡されている重大な脆弱性は（注1）、列車の最後尾や先頭に送信される「エンド・オブ・トレイン（EOT）」および「ヘッド・オブ・トレイン（HOT）」パケットと呼ばれる無線信号の通信プロトコルにおいて、認証が不十分であることに起因している。これらの信号は、列車の後部装置に停止命令を出すために使用されるものだ。

13年前から放置　脆弱性になぜ対応しないのか？

　米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は2025年7月10日（現地時間、以下同）に発表した勧告の中で「脆弱性を悪用されると、攻撃者はEOT装置に独自のブレーキ制御命令を送ることが可能となる。列車を突然停止させられて運行に支障をきたしたり、ブレーキの故障を引き起こしたりする恐れがある」と述べた（注2）。また、CISAは同脆弱性について、比較的容易に悪用できるとも説明している。

　CISAの勧告によると、脆弱なプロトコルの管理を担当している業界団体「全米鉄道協会」（AAR）は、現在問題のあるシステムを置き換えるための新しいシステムを開発中のようだ。AARは2025年5月に、これらのシステムに使用する新しいプロトコルを選定した（注3）。

　しかし同脆弱性を独自に発見し、CISAに報告した2人の研究者のうちの1人であるニール・スミス氏によると（注4）、AARの新しいシステムが実際に導入されるのは早くても2027年になる見込みだという。もう1人の研究者であるエリック・ロイター氏は、2018年にハッカーカンファレンス「DEF CON」で同脆弱性に関する講演を初めて実施した（注5）。

　スミス氏は「X」（旧「Twitter」）への投稿の中で（注6）、同脆弱性を最初に米国国土安全保障省に報告したのは2012年だったと主張した。しかし当時のAARは現実の環境で実証されない限り、同脆弱性を認めないという姿勢だったという。さらにスミス氏によると、2024年にCISAとこの問題について再び議論を始めた際も、AARや鉄道機器メーカーは同脆弱性の深刻さを軽視する対応を取ったとのことだ。

　AARで情報セキュリティを担当するディレクターは本件を重大な問題ではないと考え、「機器とプロトコルはすでにサポート終了の状態にあるため、何もするつもりはない」と決断したようだ。スミス氏は「皮肉なことに、脆弱な機器は現在も使用されている。AARは、CISAとの対話を何度も一方的に打ち切った」と書いている（注7）。

　AARはコメントの要請に応じなかった。

　CISAでサイバーセキュリティを担当するクリス・ブテラ氏（アクティング・エグゼクティブ・アシスタント・ディレクター）は、声明の中で「鉄道業界は信号システムの脆弱性を10年以上前から把握していた」と述べている。その上で、同脆弱性を悪用するのは非常に困難であり、「攻撃者が実際に鉄道の線路に物理的にアクセスし、プロトコルに関する深い知識と特殊な機器を備えている必要がある」と指摘した。同氏は「このような難しさがあるため、全米に広がる大規模な拠点を持たない限り、広範囲にわたる悪用の可能性は低い」とも語っている。

　それでもブテラ氏は「同脆弱性は技術的に重大なものであり、CISAは鉄道業界と協力して緩和戦略を推進している」と述べた。CISAは勧告の中で、影響を受ける企業に対し、脆弱なシステムのネットワーク接続を最小限にし、運用技術をファイアウォールの内側に配置し、リモートアクセスには安全なプラットフォームを使用するよう促している。

鉄道インフラに見つかった脆弱性の中でも最も深刻なものの一つ

　今回明らかになった脆弱性は、鉄道インフラに対するサイバー脅威として、これまでに発見された中で最も深刻なものの一つとなる可能性がある。ハッカーが偽のブレーキ信号を列車に送ることで、列車を脱線させたり損傷させたりする恐れがあり、乗客や貨物が危険にさらされるだけでなく、綿密に管理された米国の貨物および旅客鉄道システム全体に大混乱を引き起こす可能性があるためだ。

　米国では、約14万マイルの鉄道網が年間15億トンの貨物を運んでいる（注8）。鉄道は軍事物流にとっても重要だ。ロシア政府の関係者とみられるハッカーたちは、ウクライナの鉄道インフラだけでなく（注9）、西側からウクライナへの支援物資の拠点となっているポーランドの鉄道にも繰り返し攻撃を仕掛けている（注10）。ポーランドに大きな混乱を招いた攻撃では、電波（RF波）を発する安価な装置が使われており（注11）、今回の新たな脆弱性に対しても同様の手法が有効だとされている。

　運用技術向けのサイバーセキュリティサービスを提供するForescoutのリサーチ部門の責任者であるダニエル・ドス・サントス氏は、同脆弱性が深刻である理由を2つ挙げている。1つ目は無線で悪用できる点だ。同氏は、実際に過去にも同様の手口が使われたことがあると指摘した（注12）（注13）。2つ目は同脆弱性が影響を与える通信プロトコルが修正しにくいものである点だ。同氏は、企業に対して自社の潜在的なリスクを把握し、信頼されたネットワーク外から発信されたデータパケットを検知できる侵入検知ソフトを導入するよう呼びかけている。

　また、ドス・サントス氏は電子メールで次のように述べた。

　「同脆弱性は、鉄道におけるサイバーセキュリティの重要性を改めて強く示すものだ」

　鉄道業界をサイバー脅威や自然災害から守る責任を担う米国運輸保安庁（TSA）は、2022年にサイバーセキュリティに関する規制を初めて導入した。それ以降、TSAは業界と連携してデジタル防御の強化に取り組んできたが、専門家の間では、金融やエネルギーといった注目度の高い業界で進められている対策と比べて、それらの取り組みはまだ初期段階にあると見なされている（注14）。

　TSAはコメントの要請に応じなかった。

（注1）CVE-2025-1727（CVE）
（注2）End-of-Train and Head-of-Train Remote Linking Protocol（CISA）
（注3）Association of American Railroads Selects dot16 for Next-Generation Train Communications（ONDAS）
（注4）@midwestneil（X）
（注5）DEF CON 26 WIRELESS VILLAGE - Eric Reuter（YouTube）
（注6）@midwestneil（X）
（注7）@midwestneil（X）
（注8）Summary（REPORT CARD FOR AMRICA’S INFRASTRUCTURE）
（注9）Ukraine sees Russian effort to sow chaos as cyberattack hits rail service（Reuters）
（注10）Poland investigates cyber-attack on rail network（BBC）
（注11）The Cheap Radio Hack That Disrupted Poland’s Railway System（WIRED）
（注12）Throwback Attack: An insider releases 265,000 gallons of sewage on the Maroochy Shire（CONTROL ENGINEERING）
（注13）Teenage Hacker Takes Over Polish Tram System（DARK READING）
（注14）Cyberthreats to railroads loom as industry and TSA grow an uneasy partnership（The Record）

原文へのリンク