EVMAPA充電ステーションの重大な脆弱性がEVインフラを攻撃リスクに晒す

CISAがEVMAPA EV充電ステーションの重大な脆弱性について警告

米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、EVMAPAの電気自動車（EV）充電ステーションに存在する複数の重大な脆弱性を公表しました。これらの脆弱性は、サービス拒否（DoS）攻撃、リモートコマンド実行、充電ステーションのステータス偽装を可能にする恐れがあります。このアドバイザリ（ICSA-26-022-08）は2026年1月22日に公開され、技術的な詳細はCSAF（Common Security Advisory Framework）ドキュメントを通じて提供されています。

脆弱性の技術的詳細

CISAはこれらの脆弱性に対してまだCVE IDを割り当てていませんが、アドバイザリでは以下の潜在的な影響が強調されています：

• サービスの劣化またはDoS：攻撃者が充電ステーションの運用を妨害し、使用不能にする可能性があります。
• 不正なリモートコマンド実行：脅威アクターが充電ステーションを制御し、ステータス更新の偽装や充電セッションの操作といった悪意のある行為を実行する恐れがあります。
• 偽装および操作のリスク：侵害されたステーションが運用データを改ざんし、オペレーターやユーザーに誤情報を与える可能性があります。

これらの脆弱性はEVMAPAの充電インフラに影響を及ぼしますが、具体的なバージョンや影響を受けるモデルは初期アドバイザリでは公表されていません。セキュリティ専門家は、CVEの割り当てや緩和策を含む更新情報について、CSAFドキュメントを監視する必要があります。

影響分析

これらの脆弱性が悪用されると、EV充電ネットワークに重大なリスクをもたらし、これは国家インフラにとってますます重要なものとなっています。潜在的な影響には以下が含まれます：

• 運用の混乱：DoS攻撃により充電サービスが停止し、EVを利用するフリート、公共充電ステーション、緊急サービスに影響を与える可能性があります。
• 財務的および評判へのダメージ：改ざんされた充電データにより、請求に関する紛争、詐欺、またはEVインフラプロバイダーへの信頼喪失が発生する恐れがあります。
• 安全性のリスク：不正なコマンド実行により、攻撃者が安全プロトコルを無効化し、ユーザーに危険を及ぼしたり、機器に物理的な損害を与える可能性があります。

EVの普及拡大と充電ネットワークの拡張に伴い、これらの脆弱性は運用技術（OT）環境における積極的なセキュリティ対策の必要性を浮き彫りにしています。

セキュリティチーム向けの推奨事項

CISAはまだ公式のパッチや回避策を発表していませんが、EVMAPA充電ステーションを使用している組織は以下の対策を講じるべきです：

1. CSAFアドバイザリを監視し、CVEの割り当てやベンダー提供の緩和策を含む更新情報を確認します。
2. 重要な充電インフラを信頼できないネットワークから隔離し、リモート攻撃への露出を減らします。
3. ネットワークセグメンテーションを実施し、侵害が発生した場合の横方向の移動を制限します。
4. 侵入検知/防止システム（IDS/IPS）を導入し、充電ステーションを標的とした異常な活動を監視します。
5. アクセス制御を見直し、認可された担当者のみが充電管理システムとやり取りできるようにします。
6. インシデント対応計画を準備し、潜在的な混乱や侵害に備えます。

セキュリティ専門家は、この問題およびその他の重要インフラに対する脅威に関するリアルタイムの更新情報を得るために、CISAのICSアドバイザリを購読することを推奨します。ベンダーがパッチや緩和策を発表するにつれ、さらなるガイダンスが提供される可能性があります。

---

完全なCSAFドキュメントは、CISAのGitHubリポジトリをご覧ください。