船舶用AIS機器「FA-50」にハードコード認証情報 パッチなきEOL製品のリスク

「識別番号」を書き換えられる脆弱性 #

古野電気の簡易型船舶自動識別装置(AIS)「FA-50」に、設定用の認証情報がファームウェアにハードコードされ、しかも重要機能への認証チェックが欠如している脆弱性が公表された。CVE-2026-59769(CVSS 9.1)とCVE-2026-67578(CVSS 7.5)。この共通認証情報を知る攻撃者は、ネットワーク越しに設定画面へ入り込み、船舶を識別するMMSI番号や航行設定を無許可で書き換えられる。

AISなりすましは「絵空事」ではない #

AISは船舶同士や陸上管制が位置・識別情報を共有する仕組みで、海上衝突防止の生命線だ。過去には黒海や中東海域でGPS/AIS情報を偽装し、実在しない航跡や偽の船籍を作り出す「なりすまし」が国家関与の疑いも含め確認されている。FA-50のような小型船向け機器の認証情報が固定・公開同然になれば、同種の偽装を安価な攻撃者でも再現できてしまう可能性がある。海上保安や漁業無線とも接続する機器だけに、影響は一隻に留まらない。

パッチが出ない、というもう一つのリスク #

FA-50は2020年10月に生産終了しており、ベンダーはソフトウェア更新を提供しない方針で、後継機「FA-60」への移行のみを推奨している。回避策はインターネットへの直接接続を避け、物理アクセスを制限することだけだ。ハードコード認証情報は設計段階の欠陥のため後から塞ぐのが難しく、IoT機器がサポート終了後も現場で使われ続ける「EOLリスク」の典型例と言える。

漁船や小型船舶は買い替え周期が長く、費用対効果の観点から旧型機器がそのまま使われ続けやすい。ファームウェア更新の仕組み自体を持たない機器も多く、脆弱性が公表されても現場では「知りつつ使い続ける」以外の選択肢がないケースが少なくない。海上インフラのセキュリティは陸上のIT機器以上に置き去りにされがちで、今回の事例はその構造的な弱さを改めて浮き彫りにした。