ゆめさくセキュリティ

2023年5月12日に公表、日本、自動車

トヨタ コネクティッドサービスの車両データ公開状態事案

委託先のクラウドの設定の誤りで車両データが約10年間外部から見える状態にあった

何があったか

トヨタ自動車は2023年5月12日、関連会社のトヨタコネクティッド株式会社(TC)に取扱いを委託していたT-ConnectとG-Linkのデータの一部が、TCのクラウド環境の誤設定により公開状態になっていたと公表した。車載端末ID、車台番号、車両の位置情報、時刻が、2013年11月6日から2023年4月17日までの間、外部から閲覧できる状態にあった。対象は2012年1月2日から2023年4月17日の間にT-Connect、G-Link、G-Link Lite、G-BOOKを契約した約215万人。

公表後、該当する利用者には登録メールアドレスへ個別に連絡した。同社はTCが管理する全てのクラウド環境を含めた調査を続け、5月31日に新たな事案を公表した。国内向けでは車載ナビへの地図配信システムで車載端末IDと更新用地図データが対象となり、約26万人分が該当した。

海外向けではアジアとオセアニアの販売店向けシステムで住所や氏名、電話番号、車台番号などを含むファイルが外部からアクセスできる状態にあった。個人情報保護委員会は2023年7月12日、トヨタ自動車に対し個人情報保護法第147条に基づく指導を行い、同日その内容を公表した。トヨタはクラウド設定を監視するシステムの導入、技術的に公開設定をできなくする措置、委託先への定期監査などの再発防止策を同日公表した。

入口
トヨタコネクティッドが管理するクラウドサーバーの設定の誤りにより、個人データを含むサーバーが公開状態に置かれた
決め手の失敗
担当者の判断のみで不適切な公開設定ができる状況にあり、委託先に設定内容をチェックする体制が無かった。車載機IDや車台番号、位置情報が個人情報だと社内で認識されておらず、適切な取扱いの教育も不十分だった。委託先に対するアクセス制御の観点からの監査もしていなかった
被害
T-Connect及びG-Linkの利用者約215万人分の車載端末ID、車台番号、車両の位置情報等が約10年間外部から閲覧できる状態にあった。加えて国内の地図配信システムで約26万人分、海外の販売店向けシステムでも顧客情報を含むファイルが同様の状態にあった

攻撃の流れ

  1. 設定の誤り委託先のトヨタコネクティッドの担当者が誤認識によりクラウドサーバーを公開設定にした。または既に公開設定になっていたサーバーに個人情報を格納してしまった
  2. 長期にわたる見過ごし担当者の判断のみで不適切な公開設定ができる状況で、委託先にチェックする体制が無かった。管理を担当する従業員やその周辺で業務に当たる従業員も、個人情報保護やセキュリティの理解不足から長期間気づけなかった
  3. 委託先管理の不備トヨタはTC社に個人情報保護やセキュリティのルールや基準を示していたが、現場で遵守されているかを確認し早期に問題を見つけるための具体的な管理監督が不十分だった
  4. 発覚と公表2023年5月12日に最初の事案を公表し、外部からのアクセスを遮断した。全てのクラウド環境を含めた調査を継続し、5月31日に追加の事案(国内の地図配信システム、海外販売店向けシステム)を公表した
  5. 行政指導個人情報保護委員会が2023年7月12日、個人情報保護法第147条に基づきトヨタ自動車に指導を行い、同日その内容を公表した。トヨタは同日、具体的な再発防止策を公表した

数字で見る

  • 約215万人 T-Connect/G-Link利用者の対象者数[3] 個人情報保護委員会の資料では両サービス分を合わせて約230万人分としている
  • 約26万人 国内の地図配信システムの対象者数[2]
  • 2013年11月6日から2023年4月17日 外部からアクセスできる状態にあった期間(T-Connect)[1]
  • 平成27年2月頃から令和5年5月頃まで 外部からアクセスできる状態にあった期間(G-Link、個人情報保護委員会の資料)[3]

対応と復旧

公表後、外部からのアクセスを遮断する措置を実施した。TCが管理する全てのクラウド環境を含めた調査を継続して実施し、順次追加の事案を公表した。該当する利用者には登録メールアドレス宛に個別にお詫びと通知を送った

組織が認めた原因と、決めた対策

認めた原因

  • 担当者が誤認識によりクラウドサーバーを公開設定にしたこと、及び既に公開設定にあったクラウドサーバーに個人情報を格納してしまったこと
  • 公開設定状態にあったクラウドサーバーは担当者の判断のみで不適切な公開設定を実施できる状況にあり、委託先において不適切な設定をチェックし問題の発生を未然に防ぐための機能や体制が整備されていなかった
  • クラウドサーバーの管理を担当する従業者及びその周辺で業務に当たる従業者が自ら本件の事象に気付くことができなかった点について、個人情報保護やセキュリティに関する理解の不足があった
  • 委託先に個人情報保護やセキュリティに関するルールや基準を示していたが、委託先の現場で実際に遵守されているかを確認し早期に問題を発見するための具体的な管理監督の実施が不十分だった
  • 個人情報保護委員会は、トヨタの従業員に対する個人情報に関する研修内容が不十分であったため、車載機ID、車台番号及び位置情報等が個人情報として認識されておらず適切な取扱いが行われていなかったと指摘した

公表した再発防止策

  • お客様のデータを取り扱う予定のシステムについて、仕様の決定前に個人情報保護の専門部署による影響評価を実施する
  • 技術的に、ルールにおける条件に合致しない場合にクラウドサーバーを公開設定にできないようにする措置を施し、クラウド診断ツールを導入して機械的にクラウドの状態を常時監視する
  • 従業者への個人情報保護やセキュリティに関する理解向上のための再教育を実施する。設定業務の担当者や個人情報を扱う従業者だけでなく周辺の従業者も対象にする
  • 委託先のトヨタコネクティッドに再発防止策の実施を指示した上で、基準・ルールの遵守状況と再発防止策の実施状況について定期報告(年2回)するよう指示し、必要に応じ監査や立入検査を実施する

自分のサービスで確かめること

  • クラウドのストレージやサーバーを担当者個人の判断だけで公開設定にできないか、技術的な歯止めがあるか確かめる
  • クラウドの公開設定を機械的に継続監視する仕組み(診断ツールなど)が入っているか確かめる
  • 車台番号や端末ID、位置情報のような組み合わせ情報が個人情報に当たることを、設定作業をする担当者まで教育できているか確かめる
  • 委託先のクラウド環境について、アクセス制御の観点から監査や点検を実施しているか確かめる
  • 同種のクラウド環境が他にも無いか、定期的に棚卸しして点検する仕組みがあるか確かめる

関わる攻撃とレッスン

学べるレッスン

時系列

  1. 5月12日 公表 T-ConnectとG-Linkの利用者約215万人分の車両データが外部から閲覧できる状態にあったと公表した[1]
  2. 5月31日 公表 国内の地図配信システムで約26万人分、海外の販売店向けシステムでも個人情報を含むファイルが外部からアクセスできる状態にあったと追加で公表した[2]
  3. 7月12日 処分 個人情報保護委員会が個人情報保護法第147条に基づく指導を行い、同日その内容を公表した[3]
  4. 7月12日 公表 トヨタ自動車が再発防止策の具体的内容を公表した[4]

攻撃した側について

攻撃による事案ではなく、委託先のクラウド環境の設定の誤りによる情報の公開状態が原因

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. クラウド環境の誤設定によるお客様情報の漏洩可能性に関するお詫びとお知らせについて トヨタ自動車株式会社、2023年5月12日、被害組織の資料
  2. クラウド設定によるお客様情報の漏洩可能性に関するお詫びとお知らせについて トヨタ自動車株式会社、2023年5月31日、被害組織の資料
  3. トヨタ自動車株式会社による個人データの漏えい等事案に対する個人情報の保護に関する法律に基づく行政上の対応について 個人情報保護委員会、2023年7月12日、公的機関の資料
  4. 再発防止策のご報告(クラウド環境の誤設定によるお客様情報の漏洩可能性に関するお詫びとお知らせについて) トヨタ自動車株式会社、2023年7月10日、被害組織の資料