先日、電気自動車（EV）用充電器の設置に対する補助金を申請したところ、電力会社であるEversourceが、申請者の個人情報をインターネット上で誰でも見られる状態にしていたことがわかりました。流出していた情報には次のようなものが含まれます。

• 氏名
• 車検証（ナンバープレート番号や車台番号を含む）
• 自宅の住所
• メールアドレス
• 電話番号

この問題に気づくまでの経緯も書きますが、脆弱性そのものだけ知りたい方は、該当箇所へスキップしてください。

なぜ補助金の手続きはこんなに複雑なのか

私はマサチューセッツ州に住んでいます。州ではMass Saveという制度があり、光熱費に上乗せされる税金が、持続可能なエネルギー関連の取り組みの財源になっています。たとえば自宅の断熱工事をしてエネルギー効率を高めれば、その費用の一部をMass Saveが補助してくれます。

先日、自宅に電気自動車（EV）用の充電器を設置したところ、Mass Saveから設置費用のうち700ドルが還付されると知りました。これはありがたい話です。

私の電力会社はEversourceなので、補助金は同社経由で申請する必要がありました。オンラインで手続きすれば10分ほどで終わると思っていましたが、延々と続くフォームの入力に1時間以上かかりました。

最初に求められたのは氏名、住所、Eversourceの顧客番号です。Eversourceはすでにこれらの情報を持っているはずなので重複していますが、まあよしとします。

フォームを進めていくと、さらに関係が薄いと思われる質問が次々に出てきました。例えば次のようなものです。

• どんな電気自動車を所有しているか
• どこで購入したか
• いくらで買ったか
• 車検証はどこにあるか
• 誰がEV充電器を設置したか
• 電気工事業者の住所はどこか
• 充電器は家のどの位置に設置されているか

EV充電器を買ったことを確認するのに、なぜこれらが必要なのでしょうか。実際の手続きは、Eversourceが謳う「4ステップの補助金申請」とは比べものにならないほど複雑でした。

充電器のMACアドレスが必要です

補助金申請でEversourceから求められた情報の中で、最も呆れたのが、EV充電器のMACアドレスでした。はあ？という感じです。

MACアドレスとは、EV充電器に内蔵されたWi-Fiチップ固有の識別子です。本体には印字されていないのに、どうやって調べろというのでしょうか。

私はソフトウェア開発者で、自宅ネットワークにも詳しいので、ルーターの管理画面からEV充電器のMACアドレスを見つけることができました。しかし、一般の人に同じことを期待しているとは思えません。

却下です。やり直してください

すべての書類を提出してから1週間後、Eversourceからこんなメールが届きました。

どうやら申請の記入方法が間違っていたようです。

Eversourceが気に入らなかったのは、電気工事業者からもらった請求書に「支払い済み（Paid in full）」の記載がなかったことでした。支払い後に「支払い済み」と明記された請求書を発行してくれる業者などほとんどいないので、忙しい工事業者に頼み込んで請求書を作り直してもらわなければなりませんでした。

フォームでその要件を見落としたのでしょうか。いいえ、ポータルに戻って請求書に関する記載を確認しましたが、そこには「配線工事に関する工事業者の請求書」としか書かれていません。「支払い済み」の文言が必要だとは一言もありませんでした。

では、写真の何が問題だったのでしょうか。充電器の写真をアップロードし忘れたのでしょうか。

いいえ、写真は申請にちゃんと添付されていました。充電器ははっきり写っており、シリアル番号の写真も十分に読み取れるものでした。まさかMACアドレスを写真に撮れとでもいうのでしょうか。

写真の何が問題だったのかをメールで問い合わせ、MACアドレスを写真に撮ることは不可能だと説明しました。

1週間後に返信が来ましたが、他の写真を却下した理由の説明はありませんでした。代わりに、EV充電器の専用アプリでMACアドレスを確認して、そのスクリーンショットを撮るように言われました。はあ、そうですか……。

EversourceのEV補助金制度が抱える歪んだインセンティブ

Eversourceの補助金制度には、どこか腑に落ちないものを感じました。どの手続きも、不要な書類仕事と巧妙な落とし穴で申請者に負担をかけるように作られているように思えたのです。

マサチューセッツ州のどこかに問題があるのでしょうか。配られなかった補助金はEversourceの懐に入る仕組みなのでしょうか。

EV補助金制度を監督するマサチューセッツ州公益事業局（DPU）に電話をかけ、事情を尋ねました。なぜEversourceは補助金の申請をここまで難しくしているのか、と。

DPUの担当者によると、Eversourceに写真を却下されたものの、再審査では同じ写真がそのまま受理されたという苦情を聞いたことがあるそうです。話を聞く限り、Eversourceは写真の審査を自動システムで行っており、二次審査ではより精度の高いシステムか、あるいは単に人間が実際に目で確認しているのだろうとのことでした。

では、そうした場合にEversourceが補助金を懐に入れているのかというと、DPUの担当者は「いいえ」と答えました。申請が失敗してもEversourceにお金が残るわけではなく、申請が成功した場合でも、Eversourceがいったん立て替えて州に払い戻しを求めるだけだというのです。

では、単にお金を右から左に流しているだけなら、なぜEversourceがこの制度を運営しているのでしょうか。

DPUの担当者の説明では、Eversourceは人々にEVを買ってほしいのだそうです。マサチューセッツ州の住民がEVを持てば、支出はEversourceが扱っていないガソリンから、多くの都市でEversourceが独占的に販売する電気へと移るからです。

そこでようやく合点がいきました。Eversourceは顧客の申請をわざと失敗させたいわけではないのです。ただ、全く気にかけてもいないのです。

顧客がEversourceに補助金を請求する頃には、すでにEVを購入しています。顧客は今後数年間、Eversourceから追加で電気を買い続けることが確定しています。その時点でEversourceは顧客から欲しいものをすべて手に入れており、顧客側にはEversourceに約束を守らせる手段が何も残っていないのです。

DPUの担当者に、EV充電器の補助金に何人が申請し、何人が実際に最後まで完了したかという指標を取っているか尋ねました。EversourceがDPUに報告しているのは、手続きを完了した人数だけだそうです。仮にEversourceが申請者の99%を却下していたとしても、DPUには知る術がないのです。

Eversourceによる顧客情報の流出

Eversourceに求められた情報を提出するため、再び補助金のポータルに戻ったとき、ふと思いました。EversourceがEV補助金制度のあらゆる部分への投資を最小限に抑えているのなら、セキュリティには投資しているのだろうか、と。

残念ながら、答えはノーでした。Eversourceの補助金ポータルで深刻なセキュリティ上の脆弱性を見つけるのに、2分もかかりませんでした。

サイトのセキュリティを簡単に確認するため、ブラウザのネットワークコンソールを開き、ブラウザと補助金ポータル間の生の通信を調べてみました。ブラウザは補助金のサーバーに何十ものリクエストを送っていましたが、そのうちの一つが目に留まりました。

URL https://eversource.dsmcentral.com/traksmart4/public/guest/commercial/v2/application.json?projectId=123456 へのリクエストに対して、次のような大量のデータが返ってきたのです。

[  {    "fieldId": "FORM-60-102189-108632-4094090-2-Task_Instances_Attributes-2354-CustomerPrintedName",    "label": "Rebate Payee Printed Name",    "value": "Michael Lynch",    "displayValue": null,    "templateParameters": null,    "attributeName": "CustomerPrintedName",    "uniqueFieldIdSource": "",    "inventoryOptions": null,    "dynamicOptions": null,    "rendering": "textField",    "formatter": "None"  },...]

レスポンスは数千行に及びました。アップロードした写真や書類を除けば、私が補助金申請で提出したすべてのデータが含まれているように見えました。

その情報を取得する際、ブラウザが送っていたHTTPリクエストは次のようなものでした（実際の申請IDは 123456 に置き換えています）。

POST /traksmart4/public/guest/commercial/v2/application.json?projectId=123456 HTTP/1.1
Host: eversource.dsmcentral.com
Cookie: JSESSIONID=node0f7ynpnyr35zk1c91byqpx2x5n97179.node0;Path=/traksmart4;Secure
Content-Type: application/json
Content-Length: 27

{"programId":8,"formId":60}

私の目を引いたのは、URLのパスに public や guest という言葉が含まれていたことです。これらは通常、ログイン不要なURLに現れる言葉です。

ブラウザからのリクエストは認証済みでした。Cookie の行でサーバーにログインIDを伝えています。しかし、サーバーはそもそもログイン状態を確認しているのでしょうか。

補助金ポータルのサーバーがログインをチェックしているかどうかを確かめるため、まったく同じリクエストから Cookie の行だけを削除して送ってみました。するとポータルは依然として私の個人データをすべて返してきました。まずい。Eversourceはログインをチェックしていなかったのです。

私の申請IDは6桁の数字にすぎず、組み合わせは100万通り未満です。しかもおそらく連番で振られているので、補助金ポータルを訪れた誰もが私のproject IDを推測し、私が提出した氏名、電話番号、住所、車台番号（VIN）を含むすべての情報を閲覧できてしまうのです。

悪意のある第三者に申請内容を書き換えられたら？

Eversourceの補助金ポータルが私の個人情報を流出させているだけでも十分深刻ですが、話はさらに悪い方向に進みます。私の申請にアクセスするためのログインフォームは次のようになっています。

私のデータを丸ごと返してしまう脆弱なURLには、これらのフィールドがすべて含まれています。悪意のあるユーザーは、この脆弱なURLから私の申請番号、メールアドレス、郵便番号を抜き取り、なりすまして補助金ポータルにログインできてしまうのです。アップロードした写真や書類を含む、すべての情報にアクセスできてしまいます。

さらに悪いことに、悪意のあるユーザーは私の補助金申請の情報を書き換えることさえ可能です。たとえば、補助金の小切手の送付先を別の住所に変更するといったことが可能になります。

脆弱性の報告

Eversourceの補助金ポータルを運営しているのはResource Innovationsという会社で、他都市の多くの電力会社でも同様の制度を運営しているようです。

私はResource Innovationsのprivacy@宛てにメールを送り、深刻な脆弱性を見つけたこと、詳細をセキュリティチームに共有したい旨を伝えました。Eversourceには公開されているセキュリティ窓口が見つからなかったため、Eversourceの最高情報セキュリティ責任者（CISO）であるChristopher Leigh氏に直接メールを送りました。

翌日、Resource Innovationsの情報セキュリティ担当バイスプレジデントであるDesiree Robinson氏から返信がありました。すぐにビデオ通話で脆弱性を確認したいとの申し出でしたが、問題自体が非常に単純だったため、通話は不要でした。認証なしで通ってしまうHTTPリクエストの例をメールで送ったところ、翌日には修正したとの返事がありました。私も、有効なログイントークンなしでは脆弱なURLにアクセスできなくなったことを確認しました。

EversourceのCISOであるChristopher Leigh氏からは返信がありませんでしたが、Eversourceの「Executive Inquiry office」のKarla Pickett氏からは連絡がありました。彼女は、ベンダーが「現在この問題の解決に取り組んでいる」と述べていました。

私はKarla Pickett氏とDesiree Robinson氏の両名に、今後顧客をより適切に保護するためにどのような対策を講じたのか、詳細を共有できないか尋ねました。また、協調的な脆弱性開示に対してバグバウンティ制度を提供しているかどうかも尋ねました。しかし、どちらからも追加の質問への返答はありませんでした。

このブログ記事用のスクリーンショットを準備している際、同じ画面遷移の中にある別のURLでも、認証をチェックせずに顧客データを露出していることに気づきました。今度は氏名、自宅住所、申請番号のみが露出していました。再びDesiree Robinson氏に連絡して報告すると、7分後に調査中との返信がありました。翌日にそのURLを試したところ、正しく認証がチェックされるようになっていました。

EversourceとResource Innovationsのエンジニアリングやセキュリティについては文句を言いたいことは山ほどありますが、一つだけ評価すべき点があります。それは、対応が極めて迅速だったことです。報酬の話をしたときを除いては。

報告のタイムライン

• 2025-01-27 - Eversource、Resource Innovations、マサチューセッツ州公益事業局（DPU）に対し、報告したい脆弱性がある旨を連絡しました。
• 2025-01-28 - Resource Innovationsから詳細を求める返信がありました。
• 2025-01-28 - Resource Innovationsに脆弱性の詳細を共有しました。
• 2025-01-29 - Resource Innovationsが問題を修正したと報告がありました。
• 2025-02-05 - 補助金ポータルの別のURLでも同様の問題をResource Innovationsに報告しました。
• 2025-02-05 - Resource Innovationsが修正作業を開始すると報告がありました。
• 2025-02-06 - 脆弱なURLを再テストし、正しく認証が要求されるようになったことを確認しました。

マサチューセッツ州の住民にできること

ちょうど今、Eversourceは新たなEV補助金制度の財源として税金からの資金提供を求めているところです。

マサチューセッツ州の住民は、Eversourceの提案について州に意見を提出できます。DPUによれば、住民からのコメントはこうした手続きにおいて重みを持つとのことです。EV関連の制度に関心がある方は、ぜひパブリックコメントを提出してください。提出期限は2026年2月18日です（「本件に関心のある方は…（Any person interested in commenting on this matter…）」の項を参照）。

また、Eversourceの提案に関する公聴会が、今週水曜日（2月11日）にZoomで開催されます。

EV補助金制度への要望リスト

念のため補足すると、Eversourceは街の小さな電力会社ではありません。Fortune 500企業であり、直近12か月で13億ドルの利益を計上しています。

今回のEversourceのEV補助金制度での経験からすると、同社はマサチューセッツ州住民の税金を原資としながら、できる限りの作業をその住民自身に押し付けているように感じます。

EV補助金の申請は本来、購入証明を提出して小切手が届くのを待つだけの5〜10分で終わる手続きであるべきです。しかし実際には、2か月にわたって数時間を費やし、今なお申請が承認されるかどうかもわかりません。作業のほとんどは、制度の目的とは無関係に思える書類や情報の収集でした。

根本的な問題は、「測定されるものは管理される」というのに、マサチューセッツ州の住民がEversourceの補助金制度に費やす時間を誰も測定していないことです。その結果、Eversourceは制度への投資を最小限に抑え、住民の時間を浪費し、個人情報を流出させているのです。

Eversourceの新たなEV補助金制度に、私が求めることは次のとおりです。

• Eversourceは、補助金の条件として顧客に新たなオンラインアカウントの作成を要求してはなりません。
  • 補助金の申請フォームは、通常のEversource顧客ポータルから利用できなければなりません。
  • 補助金ポータルの運営を第三者ベンダーに委託する場合でも、安全なシングルサインオン（SSO）の仕組みを導入し、顧客が新たなアカウントを作る必要がないようにしなければなりません。
  • Eversourceは、氏名、住所、顧客番号など、すでに保有している顧客情報を申請フォームにあらかじめ入力しておかなければなりません。
• 自宅を主たる住居としてEV充電器の補助金を申請する住宅所有者については、必要な書類は（1）充電器のメーカー、型番、シリアル番号、（2）充電器および電気工事の領収書または請求書のみとすべきです。
  • 請求書に「支払い済み」の記載は不要とします。
  • 居住者はEVの所有を証明する必要はありません。部分的な補助金を得るためだけに赤字覚悟でEV充電器を設置する人などいないからです。
• Eversourceは自費で、マサチューセッツ州に拠点を置くウェブセキュリティ企業に依頼し、補助金ポータルの年次セキュリティ監査を実施しなければなりません。
  • Eversourceは監査結果をマサチューセッツ州DPUに提出し、重大度がHighまたはCriticalと評価された問題は6週間以内に修正しなければなりません。
• Eversourceは次の指標を四半期ごとに公開しなければなりません。
  • 補助金申請を開始した顧客数
  • 一度でも申請を却下された顧客数（最終的な結果を問わない）
  • 補助金の申請に成功し、支払いを受けた顧客数
• 申請手続きの全過程において、EversourceはEV補助金制度を監督するマサチューセッツ州DPUの担当部署の連絡先を表示しなければなりません。
  • 連絡先は、補助金申請の却下通知において目立つ形で表示し、住民が誤った却下に対して異議を申し立てられるようにしなければなりません。
• マサチューセッツ州DPUは、EV充電器の補助金申請を監査できる権限を持たなければなりません。
• Eversourceが申請を却下し、DPUがそれを不当な却下と判断した場合、Eversourceは顧客に対し、申請額の150%を支払わなければなりません。
  • DPUは、不当な却下があった申請については、後に承認された場合でもEversourceへの払い戻しを行ってはなりません。

注：掲載したHTTPリクエストでは、私自身のアカウント情報が漏れないよう、固有の識別子は省略・変更しています。