Luka w zabezpieczeniach oprogramowania samochodowego Subaru umożliwia hakerom pełny dostęp do pojazdów

W miarę jak branża motoryzacyjna staje się coraz bardziej inteligentna i połączona, rośnie liczba luk w zabezpieczeniach. Nowy raport szczegółowo opisuje, jak podatne na ataki mogą być połączone samochody.

Badacz bezpieczeństwa o imieniu Sam Curry opublikował niedawno post na blogu, w którym szczegółowo opisał, w jaki sposób on i jego kolega (Shubham Shah) byli w stanie złamać system oprogramowania Starlink używany w samochodach Subaru. Starlink zasila centrum informacyjno-rozrywkowe w samochodach Subaru i umożliwia użytkownikom zdalne sterowanie zarejestrowanymi samochodami, co może obejmować zdalne blokowanie/odblokowywanie pojazdu i jego uruchamianie.

Curry wyjaśnił, że exploit na stronie logowania pracowników Subaru do systemu Starlink pozwolił mu zidentyfikować prawidłowy adres e-mail pracownika, zmienić hasło pracownika i obejść wszelkiego rodzaju uwierzytelnianie dwuskładnikowe w celu zalogowania się.

Po wejściu do systemu Starlink Curry zdał sobie sprawę, że może zlokalizować dowolny zarejestrowany pojazd Subaru za pomocą jednego z następujących elementów: imię i nazwisko klienta, numer telefonu, adres e-mail lub numer identyfikacyjny pojazdu (VIN). (Proszę zauważyć, że numery VIN można łatwo znaleźć za pomocą tablicy rejestracyjnej.) Po znalezieniu samochodu wszystkie te informacje były gotowe do przejęcia. Inne dostępne informacje obejmowały dane rozliczeniowe, kontakty alarmowe i inne.

Nie tylko te dane osobowe były łatwo dostępne, ale historia lokalizacji pojazdu w ciągu ostatniego roku była również dostępna i, według Curry'ego, łatwa do pobrania i wykreślenia. Te dane lokalizacyjne obejmowały znacznik czasu, licznik kilometrów pojazdu i współrzędne GPS (z dokładnością do około 15 stóp lub 5 metrów).

Być może najbardziej niepokojące jest to, że Curry był w stanie znaleźć samochód znajomego w bazie danych i dodać swoje osobiste dane uwierzytelniające jako autoryzowany użytkownik Starlink do tego pojazdu. Po dodaniu mógł zdalnie sterować samochodem. Pozwoliło mu to zablokować i odblokować samochód, zdalnie go uruchomić i określić jego lokalizację. Dotknięty użytkownik Starlink nie otrzymał żadnego powiadomienia, że inny użytkownik został dodany do konta Starlink samochodu.

Wygląda na to, że Subaru załatało lukę, którą Curry odkrył w listopadzie 2024 roku. Trzeba przyznać, że producent samochodów wydał poprawkę w ciągu 24 godzin od otrzymania raportu od Curry'ego. Post Curry'ego służy jako przypomnienie, że choć nasze samochody są inteligentne, nadal mogą być dość podatne na ataki złodziei i innych złośliwych podmiotów.

Proszę kupić lokalizator samochodowy CARLOCK 4G OBD na Amazon.