ノルウェーで運用されている中国製電動バスにリモートアクセス機能が隠されていることが発見される

ノルウェーの公共交通機関運営会社であるRuterは、国内で運用している中国メーカー製の電動バスに「SIMカード」が搭載されていることを内部検査で発見しました。このSIMカードを用いると電動バスが遠隔から制御できる可能性があり、ノルウェー政府はバスのサイバーセキュリティリスクを再検討しています。

Ruter | We have conducted a comprehensive safety test of electric buses
https://ruter.no/en/ruter-with-extensive-security-testing-of-electric-buses

Norway’s Public Buses Have A Chinese Backdoor No One Knew About | Carscoops
https://www.carscoops.com/2025/11/norways-public-buses-can-be-shut-down-remotely-from-china/

ノルウェーでは約1300台の電動バスが運行されており、そのうち約850台は中国のメーカーである「宇通(ユートン)」が提供しています。宇通のバスは、ノルウェーの首都オスロ周辺だけでも約300台が運用されています。

宇通製の電動バスの内部調査が実施された際に、システム内の隠された位置にルーマニア回線のSIMカードが存在していたことが発見されました。宇通によると、SIMカードは遠隔でのソフトウェアアップデートや技術的なトラブルシューティングを可能にするためのものとのこと。車両から送信されたデータは暗号化され、車両関連のメンテナンスや最適化のみに使用されると宇通の広報担当者は述べています。

そこでRuterは、電動バスに内在するサイバーセキュリティリスクを明らかにするため、宇通のバスとオランダ「VDL」製のバスを隔離された山の中に持ち込み実験を行いました。実験の主なチェック項目では、バスのカメラ映像がインターネット接続されていないか、バスのソフトウェア更新が外部アクセス可能か、電源供給系統がモバイル通信経由でアクセス可能かなどが注目されました。

結果として、VDLのバスは外部からのソフトウェア更新機能を持たず、外部アクセスの入口が限定的であったとして、比較的リスクが低いと判明しました。一方で、宇通のバスはSIMカードを使用したモバイル通信により電源管理システムに外部からアクセスできる構造であることが確認されました。これはつまり、遠隔からバスを停止させたり運行不能にしたりする権限を、理論上は宇通が握っていることになります。ただ、バスのカメラ映像がインターネット経由で送信されるという証拠はなく、「映像監視リスク」は確認されていないとRuterは述べています。

実験の結果を受け、Ruterは今後の電動バス導入においてより厳しいセキュリティ要件を課すこと、ローカル制御を確保してハッキングから保護するファイアウォールを開発すること、明確なサイバーセキュリティ要件について国や地方自治体と協力することなどを表明しました。ノルウェーの運輸省はRuterの報告を受けて、サイバーセキュリティ基準の見直しを開始すると発表しています。

Ruterのベルント・レイタン・イェンセンCEOは「今回の包括的かつ独自のテストにより、バスに適切な安全対策を施すことができます。今回の調査では悪意ある活動の証拠は見つかっておらず懸念にとどまりましたが、その懸念を具体的な知識へと移行して安全基準の厳格化につなげることができました」と語りました。

記事作成時点では、Ruterは必要に応じて通信を切断したりSIMカードを物理的に取り外したりすることで、電動バスをローカルまたはオフラインで運用できるようにしていると説明しています。