2021年01月07日 10時30分セキュリティ

日産の機密情報であるソースコードがインターネット上に流出

日産の北米法人であるNissan North Americaの開発に使われる社内ツールのソースコードがインターネットに流出していたことが判明しました。

Nissan source code leaked online after Git repo misconfiguration | ZDNet
https://www.zdnet.com/article/nissan-source-code-leaked-online-after-git-repo-misconfiguration/

ソースコードのリークを最初に報じたのはスイス在住のソフトウェア・エンジニアであるティリ・コットマン氏。コットマン氏は匿名の情報源から日産のソースコードがユーザーネーム「admin」、パスワード「admin」というデフォルトの状態でGitサーバーに保存されていることを知ったとのこと。

RELEASE: Nissan North America Source Code Dump

A COMPLETE dump of all git repositories from Nissan NA, most notably including sources for:
- the Nissan NA Mobile apps
- some parts of the ASIST diagnostics tool
- the Dealer Business Systems / Dealer Portal
(1/n) pic.twitter.com/ltDvg9blTB
— tillie, doer of crime ???????????????? (@antiproprietary)

実際にコットマン氏がアクセスしてみたところ、Gitのリポジトリには以下のソースコードが含まれていました。

・Nissan North Americaのモバイルアプリ
・日産アシスト診断ツールの一部
・ディーラーのビジネス用システム／ディーラー用ポータル
・日産の内部コアモバイルライブラリ
・日産インフィニティのNCAR／ICARサービス
・顧客獲得と保持のためのツール
・営業とマーケティング調査のツールとデータ
・さまざまなマーケティングツール
・自動車の接続サービス
・その他さまざまな内部ツールとバックエンドツール

情報は2021年1月4日頃からハッキングフォーラムなどで共有されだし、その後、日産は5日にGitサーバーをオフラインにしました。IT系ニュースサイトのZDNetが日産の広報担当者と連絡を取ったところ、「日産の機密情報やソースコードが不適切な方法で公開されたという主張については認識しています。私たちはこの事を真剣に受け止め、調査を行っています」との回答を得たとのことです。

なお、コットマン氏は2020年にもメルセデス・ベンツのソースコード流出を発見しています。この際、自動車メーカーであるダイムラーはデータ流出を認め、最終的に流出情報を所有していたコットマン氏もダイムラーの要求に応じてサーバーからデータを削除しました。

メルセデス・ベンツの車載演算装置(OLU)のソースコードが流出 - GIGAZINE