株式会社BlueAI は 2026年度 IT導入支援事業者に採択されました 詳しく見る
BlueAI セキュリティ
メニュー

事例・2023年

トヨタ自動車 クラウド環境誤設定による車両情報漏えい

2023年5月12日 自動車（コネクテッドカーサービス）

トヨタ自動車 クラウド環境誤設定による車両情報漏えい（英語名 Toyota Motor cloud misconfiguration vehicle data exposure）は、自動車（コネクテッドカーサービス）で起きた事例です。侵入口、決定的な失敗、被害の順に、公表資料の記載だけで図にしました。

  • 委託
  • 検知

要点

  • 侵入口 トヨタ自動車が管理を委託していたトヨタコネクティッド株式会社（TC）のクラウド環境の誤設定により、本来非公開とすべき顧客データが外部から閲覧可能な公開状態になっていた（トヨタ自動車公表）
  • 決定的な失敗 トヨタ自動車は、本件の主な原因を「データ取扱いのルール説明・徹底が不十分だったこと」と説明している。
  • 被害 2012年1月2日から2023年4月17日の間にT-Connect／G-Link／G-Link Lite／G-BOOKを契約した顧客約215万人の車載端末ID、車台番号、車両の位置情報、時刻が、2013年11月6日から2023年4月17日まで外部からアクセス可能な状態だった（2023年5月12日公表、第一報）。

漏えいの道筋

入口から、決定的な失敗を経て、被害に至るまで。図の番号は下の説明と対応します。図の文言は事例の記録からの引用です。

010203123データ取扱いのルール説明・徹底が不十分だったクラウド環境外部から閲覧可能な公開状態車両の位置情報顧客約215万人
  1. 1
    発端データ取扱いのルール

    トヨタ自動車は、本件の主な原因を「データ取扱いのルール説明・徹底が不十分だったこと」と説明している。

  2. 2
    決定的な失敗クラウド環境

    トヨタ自動車が管理を委託していたトヨタコネクティッド株式会社（TC）のクラウド環境の誤設定により、本来非公開とすべき顧客データが外部から閲覧可能な公開状態になっていた（トヨタ自動車公表）。

  3. 3
    被害車両の位置情報

    2012年1月2日から2023年4月17日の間にT-Connect／G-Link／G-Link Lite／G-BOOKを契約した顧客約215万人の車載端末ID、車台番号、車両の位置情報、時刻が、2013年11月6日から2023年4月17日まで外部からアクセス可能な状態だった（2023年5月12日公表、第一報）。

  1. 1
    発端データ取扱いのルール

    トヨタ自動車は、本件の主な原因を「データ取扱いのルール説明・徹底が不十分だったこと」と説明している。

  2. 2
    決定的な失敗クラウド環境

    トヨタ自動車が管理を委託していたトヨタコネクティッド株式会社（TC）のクラウド環境の誤設定により、本来非公開とすべき顧客データが外部から閲覧可能な公開状態になっていた（トヨタ自動車公表）。

  3. 3
    被害車両の位置情報

    2012年1月2日から2023年4月17日の間にT-Connect／G-Link／G-Link Lite／G-BOOKを契約した顧客約215万人の車載端末ID、車台番号、車両の位置情報、時刻が、2013年11月6日から2023年4月17日まで外部からアクセス可能な状態だった（2023年5月12日公表、第一報）。

被害

被害

2012年1月2日から2023年4月17日の間にT-Connect／G-Link／G-Link Lite／G-BOOKを契約した顧客約215万人の車載端末ID、車台番号、車両の位置情報、時刻が、2013年11月6日から2023年4月17日まで外部からアクセス可能な状態だった（2023年5月12日公表、第一報）。続報（5月31日）では、国内の地図配信システムを利用した約26万人の車載端末ID・更新用地図データ・その作成年月が2015年2月9日から2023年5月12日まで外部アクセス可能だったほか、アジア・オセアニア向け海外販売店向けシステムで住所・氏名・電話番号・メールアドレス・顧客ID・車両登録ナンバー・車台番号を含むファイルが2016年10月から2023年5月まで外部アクセス可能だったことが判明した

決定的な失敗

  • 1トヨタ自動車は、本件の主な原因を「データ取扱いのルール説明・徹底が不十分だったこと」と説明している。
  • 22023年5月31日の続報では、前回の公表以降にクラウド設定を監視するシステムの導入を完了し、継続的に設定状況を監視する仕組みが稼働しているとした。

経過

2023年4月17日から44日間の記録。軸は日数の平方根で縮めています。

  1. 2023.04.170日目

    約215万人分の車両データが外部からアクセス可能だった期間の終わり（5月12日の第一報による。トヨタ自動車は判明後に外部からのアクセスを遮断したとしているが、遮断の日付は示していない）

  2. 2023.05.1225日目

    クラウド環境の誤設定によるお客様情報の漏洩可能性について第一報を公表。約215万人が対象と説明

  3. 2023.05.3144日目

    TCが管理する全クラウド環境の調査継続の結果、国内の地図配信システム分（約26万人）と海外（アジア・オセアニア向け）のファイルについても外部アクセス可能な状態だったことが判明したと続報を公表

防げた手立て

番号は漏えいの道筋の図と対応します。

  • クラウド環境の設定を監視するシステムと継続的な監視の仕組み（トヨタ自動車は公表後にこれを導入した）

    効く場所 2

  • 委託先（トヨタコネクティッド）へのデータ取扱いルールの説明・教育の徹底

    効く場所 1

  • クラウドストレージのデフォルト非公開設定及び公開範囲の定期的なレビュー

    効く場所 2

関係するページ

手口、グループ、事例のつながりは、収録データの記録だけから引いています。

関係する手口

関係するグループ

収録データにはまだ出ていない

このテーマ

Web とアプリへの攻撃

同じテーマのページをまとめて読めます。

次に読む

出典

最終確認日 （2026年10月24日）

監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）