_resized.jpg)
Цепочка начиналась с номерного знака: по нему исследователи получали VIN, а затем и доступ к внутренним интерфейсам. Дальше они могли сбросить пароль владельца, обойти двухфакторную аутентификацию через OAuth, выпустить токен приложения и отправить ту же команду, что и штатное приложение: открыть двери, завести или заглушить мотор, мигнуть фарами, посигналить. Проверяли все это на собственных машинах, рядом с которыми стояли владельцы.
Что еще утекало
Один из открытых эндпоинтов отдавал хеши паролей и PIN-кодов, push-токены, номера телефонов и полные имена клиентов. Пострадать мог любой владелец подключенного автомобиля: файл с учетными данными получал каждый, кто скачал Android-версию приложения. При этом сами исследователи подчеркивают, что полную цепочку до машины проверяли только на американских аккаунтах и автомобилях.
Любопытная деталь: австралийские системы оказались доступнее североамериканских. В США производитель закрылся более серьезным веб-файрволом, и исследователям пришлось искать обход через удаленное исполнение кода, а в Австралии защита была слабее. Обе компании устранили уязвимость примерно через два часа после отчета и сменили учетные данные, но премию за найденную дыру исследователям так и не выплатили.
Случай вписывается в более широкую историю о безопасности подключенных машин. Ранее в этом году специалисты по кибербезопасности взломали пикап BYD Shark 6 в эфире австралийской программы Four Corners: они записывали звонки через штатную громкую связь и управляли фарами и дворниками. Тогда BYD Australia заявила, что для такого доступа нужен физический контакт с автомобилем, и выпустила обновление прошивки.
Источник: Авто Mail / ИИ
