Falha em apps de montadoras permitia controle remoto de carros
Destaques
- •Vulnerabilidade crítica em aplicativos de duas montadoras permitia acesso total às contas de motoristas e controle remoto de veículos.
- •Especialistas em cibersegurança exploraram falhas em sistema de autenticação e senha padrão para assumir controle de contas e enviar comandos como destravar portas e ligar o motor.
- •As montadoras corrigiram a falha em cerca de duas horas após serem alertadas em fevereiro, mas a demonstração dos riscos foi publicada neste sábado (7).
Especialistas em cibersegurança identificaram e exploraram uma vulnerabilidade crítica nos aplicativos de celular de duas grandes montadoras de veículos, permitindo o acesso total às contas de motoristas e o controle remoto de carros conectados. A falha, detalhada em um relatório técnico publicado neste sábado (7) pelos pesquisadores Sam Cury e Shubham Shah, possibilitava ações como destravar portas e dar partida no motor à distância.
A investigação revelou que ambas as montadoras utilizavam a plataforma de identidade ForgeRock, agora parte da Ping Identity, para gerenciar o acesso dos clientes. O painel de controle do sistema de dados permanecia acessível na internet com a senha padrão de fábrica, "admin", tanto para usuário quanto para senha. Os pesquisadores conseguiram contornar o firewall de aplicação web (WAF) inserindo caracteres codificados e barras na URL, o que permitiu o acesso à área secreta de administração.
Controle total de contas e veículos
Uma vez dentro do console administrativo, Cury e Shah utilizaram o agendador de tarefas do sistema para executar códigos próprios no servidor de identidade. Isso abriu um canal direto com o banco de dados de clientes. Com acesso interno, eles alteraram o e-mail e a senha de uma conta de teste, efetuaram login no aplicativo comum para gerar tokens de acesso válidos e, em seguida, enviaram comandos diretamente para o veículo associado.
Em uma demonstração paralela, Shah encontrou credenciais administrativas de testes expostas no código do aplicativo móvel na Austrália. Ao combinar os métodos, a dupla confirmou a capacidade de enviar comandos remotos para veículos das duas marcas em países como Austrália, Estados Unidos e Canadá.
Invasão silenciosa e correção rápida
A invasão ocorria de forma silenciosa para o motorista, pois a troca de e-mail e senha no banco de dados não derrubava a sessão ativa do celular do proprietário. Além disso, os alertas de segurança podiam ser redirecionados para os dispositivos dos pesquisadores.
As montadoras, cujos nomes não foram divulgados, foram alertadas pela equipe de cibersegurança em fevereiro e aplicaram as correções nos servidores cerca de duas horas após o aviso. A documentação técnica da ForgeRock já recomendava a remoção do console de gerenciamento ou a alteração da senha padrão antes da entrada em operação comercial.
