攻撃の仕組み：ARINC 429バスの「乗っ取り」

研究チーム（元UCSD博士課程のサム・クロウ氏ら）が設計・制作したこのデバイスは、米国25セント硬貨ほどの大きさで、制作費は100ドル未満。悪意のある第三者デバイスとして、飛行管理コンピューター（FMC）とパイロットが操作する多機能制御表示ユニット（MCDU）との間に割り込みます。

攻撃の核心は、航空機のアビオニクスで広く使われる ARINC 429データバス の脆弱性を突く点にあります。ARINC 429はシングルマスターのシリアルバスで、設計上、暗号化や認証の仕組みがありません。さらに、その電気的特性にはインピーダンス整合抵抗が使われており、悪意のあるデバイスが正規の送信機よりも強い電流をバスに流すことで、電気的に信号を上書きできてしまいます。研究チームはこの信号抑制技術を「バスドライバー攻撃」と名付けました。

改ざん可能なデータとステルス性

インプラントがバスを制御すると、以下のような操作が可能になります：

• ウェイポイントの変更による飛行経路の逸脱
• 離陸重量計算値の改ざん → これにより、離陸に必要な速度（V速度）が変化
• 外気温度や燃料搭載量の変更 → エンジン出力や燃費計算に影響

そして、最も危険な点は、同時にパイロットのコクピット表示画面には、改ざん前の正しいデータがそのまま表示されているように偽装する 点です。パイロットはMCDU画面上で何の異常も警告も確認できず、飛行中に異変に気づくことは極めて困難です。

また、このデバイスにはWi-Fi無線が搭載されており、地上に設置した後、飛行中に遠隔からコマンドを送信したり、悪意のあるソフトウェアアップデートを配信することも理論上可能です。

ボーイング社の対応

研究チームは2020年にこの脆弱性をボーイング社に開示し、その後、ボーイング社の自社ラボでも攻撃の再現・検証を共同で実施しました。

これに対しボーイング社は声明を発表し、実用的なリスクは低いと強調しました。声明では、「当社の技術専門家は、機体のシステム設計および運用環境における多層的な防御策により、現実世界での攻撃の実現可能性とリスクは十分に軽減されると確信している」 と述べています。また、ボーイング社は研究結果を受けて、該当するコンポーネントの設計、設置、インターフェースの独自レビューを実施したとしています。

推奨される対策

研究者は、直ちに機材を grounding（運航停止）する必要はないとしながらも、以下の現実的な対策を提言しています：

• 物理的アクセスの制限：外部整備ポートへのアクセスをロック可能なパネルや改ざん防止シールで保護
• ARINC 429バスの電気的絶縁強化：バスドライバー攻撃を困難にする設計変更
• ARINC 429メッセージへの暗号化認証の追加
• センサーフュージョンとクロスチェックの実装：冗長システム間で飛行パラメータの不一致を検出
• コクピットアラートの改善：FMCと表示データの不一致をパイロットに通知

この研究は、現代の旅客機が抱える物理的セキュリティとアビオニクスバスの完全性に関する重要な警鐘を鳴らすものとして、航空業界に大きな波紋を広げています。

攻撃の仕組み：ARINC 429バスの「乗っ取り」

研究チーム（元UCSD博士課程のサム・クロウ氏ら）が設計・制作したこのデバイスは、米国25セント硬貨ほどの大きさで、制作費は100ドル未満。悪意のある第三者デバイスとして、飛行管理コンピューター（FMC）とパイロットが操作する多機能制御表示ユニット（MCDU）との間に割り込みます。

攻撃の核心は、航空機のアビオニクスで広く使われる ARINC 429データバス の脆弱性を突く点にあります。ARINC 429はシングルマスターのシリアルバスで、設計上、暗号化や認証の仕組みがありません。さらに、その電気的特性にはインピーダンス整合抵抗が使われており、悪意のあるデバイスが正規の送信機よりも強い電流をバスに流すことで、電気的に信号を上書きできてしまいます。研究チームはこの信号抑制技術を「バスドライバー攻撃」と名付けました。

改ざん可能なデータとステルス性

インプラントがバスを制御すると、以下のような操作が可能になります：

• ウェイポイントの変更による飛行経路の逸脱
• 離陸重量計算値の改ざん → これにより、離陸に必要な速度（V速度）が変化
• 外気温度や燃料搭載量の変更 → エンジン出力や燃費計算に影響

そして、最も危険な点は、同時にパイロットのコクピット表示画面には、改ざん前の正しいデータがそのまま表示されているように偽装する 点です。パイロットはMCDU画面上で何の異常も警告も確認できず、飛行中に異変に気づくことは極めて困難です。

また、このデバイスにはWi-Fi無線が搭載されており、地上に設置した後、飛行中に遠隔からコマンドを送信したり、悪意のあるソフトウェアアップデートを配信することも理論上可能です。

ボーイング社の対応

研究チームは2020年にこの脆弱性をボーイング社に開示し、その後、ボーイング社の自社ラボでも攻撃の再現・検証を共同で実施しました。

これに対しボーイング社は声明を発表し、実用的なリスクは低いと強調しました。声明では、「当社の技術専門家は、機体のシステム設計および運用環境における多層的な防御策により、現実世界での攻撃の実現可能性とリスクは十分に軽減されると確信している」 と述べています。また、ボーイング社は研究結果を受けて、該当するコンポーネントの設計、設置、インターフェースの独自レビューを実施したとしています。

推奨される対策

研究者は、直ちに機材を grounding（運航停止）する必要はないとしながらも、以下の現実的な対策を提言しています：

• 物理的アクセスの制限：外部整備ポートへのアクセスをロック可能なパネルや改ざん防止シールで保護
• ARINC 429バスの電気的絶縁強化：バスドライバー攻撃を困難にする設計変更
• ARINC 429メッセージへの暗号化認証の追加
• センサーフュージョンとクロスチェックの実装：冗長システム間で飛行パラメータの不一致を検出
• コクピットアラートの改善：FMCと表示データの不一致をパイロットに通知

この研究は、現代の旅客機が抱える物理的セキュリティとアビオニクスバスの完全性に関する重要な警鐘を鳴らすものとして、航空業界に大きな波紋を広げています。