TeslaMate Server から漏洩する車両データ：認証機能を持たない数百のサーバが稼働中

Hundreds of TeslaMate Servers Expose Real-Time Vehicle Data

2025/08/18 gbhackers — 数百台のセルフホスト型 TeslaMate サーバが、認証を要求することなく、Tesla 車両の機密データをパブリック・インターネットに公開していることが、あるセキュリティ研究者により明らかにされた。それにより、リアルタイムでの位置追跡／充電パターン／運転習慣などが露見する恐れがある。Tesla の公式 API に接続する TeslaMate とは、人気の OSS データ・ロガーであり、GPS 座標／バッテリーの状態／充電セッション／走行履歴／車内温度などの、詳細な車両テレメトリを収集する。このアプリケーションはポート 4000 で動作し、通常はデータの可視化のために、ポート 3000 上の Grafana ダッシュボードも用いている。

広範囲におよぶ脆弱性を発見

インターネット全体を対象とするスキャン・ツールを用いて、この研究者が特定したのは、約 900 台のパブリック・アクセス可能な TeslaMate システムであり、それらは複数の大陸にまたがるものだ。その特定の手法では、IPv4 アドレス空間全体をスキャンして、開いているポート 4000 を探索し、結果をフィルタリングすることで、TeslaMate の特徴的な Web インターフェイスを識別している。

公開されたサーバは、Tesla オーナーたちの日常生活に関する、驚くべき詳細を明らかにした。そこで特定されたのは、駐車車両の正確な GPS 座標へのアクセス／通勤パターンの追跡／自宅住所の特定などに加えて、車が通常の場所に存在しなかった時間帯などであると、この研究者は報告している。

つまり、多くのケースにおいて、それらのデータが描き出すのは、オーナーの移動／休暇スケジュール／充電行動などの全体像となる。

深刻なセキュリティ・ギャップ

この問題の根本は、TeslaMate のアーキテクチャにある。このアプリケーションには認証機能が組み込まれておらず、また、デフォルトにおいて、すべてのネットワーク・インターフェイスにバインドされる。そのためクラウド・サーバやパブリック IP アドレスを持つシステムにデプロイされると、このコンフィグレーションにより、誰もが Web ブラウザを介して、それらの車両データに即座にアクセス可能となる。

この研究者が作成したのは、teslamap.io で公開された Tesla 車両の、世界的な分布を表示するインタラクティブ・マップであり、それにより示したのは、漏洩した GPS 座標が攻撃者により武器化される可能性である。可視化されたデータには、北米／ヨーロッパ／アジアの大都市圏に集中するクラスターが確認された。

公開されたデータがもたらすのは、深刻なプライバシーおよび物理的なセキュリティに関するリスクである。この情報を悪用する犯罪者は、車両が不在となる時間帯の特定／窃盗計画のための日常行動の追跡／窃取後の逃走のためのバッテリー残量といった、高価値ターゲットを識別する可能性を手にする。

正確な位置情報とリアルタイムの車両ステータスを組み合わせることで、潜在的な攻撃者にとって、前例のない情報フィードが生成される。

セキュリティ専門家たちが、TeslaMate オペレーターに対して推奨するのは、いくつかの即時性の高い修復の手順である。基本認証を備えたリバース・プロキシの導入は、シンプルな第一線防御となる。さらに、この研究者が提案するのは、最低限のセキュリティ対策としての、パスワード保護付きの Nginx の使用である。

その他の推奨事項に取り込まれるのは、アプリケーションの localhost のみへのバインド／適切なファイアウォール・ルールの有効化／Grafana のデフォルト認証情報の変更などであり、可能な場合には VPN アクセスの背後へのデプロイメントも含まれる。

TeslaMate のメンテナーたちは、この問題を認識しており、今後のリリースではデフォルトでの安全な認証を実装する予定である。しかし、依然として、数百の無防備な設備が稼働中であり、個々のオペレーターが適切なセキュリティ管理を実施するまでは、機密性の高い車両データをブロードキャストし続けることになる。

TeslaMate という OSS のデータ・ロガーですが、認証を要求しない設定のままで、公開されているようです。この脆弱性の原因は、アプリケーション設計にあり、初期状態では認証機能が備わっていない点と、デフォルトで全てのネットワーク・インターフェイスにバインドされてしまう点が問題とされています。ご利用のユーザーさんは、ご注意ください。よろしければ、カテゴリ Transportation も、ご参照ください。