鉄道車両メーカーの「自社工場でしか修理できない」仕掛けを解除したハッカーが訴訟に直面

by Pudelek (Marcin Szala)

ポーランドの鉄道車両メーカー・Newagの製造車両で原因不明の故障が多発した出来事を解決したハッカーグループのメンバー3人が、Newagから刑事・民事の両面で訴えられていることがわかりました。メンバーのサポートを行っているハッカー集団のChaos Computer Clubは、訴訟費用やその他の経費についての支援を呼びかけています。

CCC | They have not been trained for this
https://www.ccc.de/en/updates/2024/das-ist-vollig-entgleist

We've not been trained for this: life after the Newag DRM disclosure - 38C3
https://events.ccc.de/congress/2024/hub/en/event/we-ve-not-been-trained-for-this-life-after-the-newag-drm-disclosure/

訴えられているのはハッカーグループ「Dragon Sector」のq3k(セルジウシュ・バザンスキー)氏らです。q3k氏らは2022年春からポーランドの鉄道で相次いだ、Newag製車両の故障について調べ、Newagが車両の安定運用を妨害し、自社工場の修理を必要とするよう仕向けるコードをソフトウェア内に仕込んでいたことを発見しました。

走行不能になった鉄道車両のシステムをハックして復旧させたハッカーの記録 - GIGAZINE

q3k氏らはどのようにNewagの仕掛けを突破したかを、ハッカーイベント「37C3」で発表しています。

Breaking "DRM" in Polish trains - media.ccc.de
https://media.ccc.de/v/37c3-12142-breaking_drm_in_polish_trains

「38C3」では新たな講演が行われました。講演映像は以下リンク先で公開されています。

Relive: We've not been trained for this: life after the Newag DRM disclosure – 38C3: Illegal Instructions Streaming
https://streaming.media.ccc.de/38c3/relive/233cb1d4-4833-5384-aeee-d99344433e0b

q3k氏らによれば、Newagは「非稼働状態の検出」「シリアルナンバーチェック」「位置情報チェック」「動作日付チェック」「解錠用の複合秘密鍵」を仕込んでいたとのこと。

当局への報告も行いましたが、しばらくは何の動きもなかったそうです。

そのため、2023年12月に事実を公表。

「37C3」での発表にもつながりました。

発表を受けてさまざまなワークショップなどに参加した結果、ポーランドの鉄道事業者・Polregioから「ロック解除のため列車1編成あたり2万3000ユーロ(約374万円)をNewagに支払った」「Newagはロック解除に10分しかかからなかった」「どういう問題が発生していたのか、どのようにロックを解除したのかは説明してくれなかった」という情報を得られたとのこと。

当局は重い腰を上げて、Newagの家宅捜索を行ったとのことですが、まだNewagを訴えるには至っていないそうです。一方で、Dragon Sectorは車両のチェックを依頼したポーランド鉄道車両サービスとともに、Newagから訴えられています。

訴訟は1件がNewagのIPマネジメント担当子会社から「不正競争および知的財産権侵害」で訴えられたもので、最大130万ユーロ(約2億1100万円)の支払いや公的な謝罪、およびNewag製車両「Impuls」についてこれ以上なにもしないことを求められています。もう1件はNewagの本体ともいえるNewag S.A.から「不正競争および人格権侵害」で訴えられたもので、とにかく本件について口を閉ざすことを求めるものだとのこと。

このため、本件に関する技術レポートの完全版は訴訟が片付いてからの公開になるそうです。

なお、Chaos Computer Clubによると2024年末までに330件、合計1万9176.03ユーロ(約312万円)の振り込みがあったとのことです。