İki büyük otomobil üreticisinin internete bağlı tüm araçları uzaktan açılıp çalıştırılabiliyormuş

İki büyük otomobil üreticisinin bağlantılı araç altyapısındaki güvenlik açıkları, saldırganların bu markaların internete bağlı herhangi bir aracının kapılarını uzaktan açmasına ve motorunu çalıştırmasına olanak tanıyordu. Tom's Hardware'in aktardığına göre iki güvenlik araştırmacısı 2026'nın başlarında iki otomobil üreticisinin araç bağlantı sistemlerine sızmayı başardı.

Açıklar hızla kapatıldı. Sorunlar, üreticilerin mobil uygulamalarının kullandığı çeşitli sunucu arayüzlerindeki (API) güvenlik zaaflarından kaynaklanıyordu. Kapıları uzaktan açıp motoru çalıştırabilmek en endişe verici kısım olsa da açıklar araçların konumunu, kilometresini, yakıt ve menzil durumunu, kapıların açık ya da kapalı olduğunu ve müşterilerin kişisel bilgilerini de açığa çıkarıyordu.

Avustralya, ABD ve Kanada'daki araçlar etkilendi

Beyaz şapkalı iki hacker, etkilenen şirketlerin adını açıklamıyor. Araştırmacılar birinci üreticinin ABD'deki araçlarına erişebildi. İkinci üreticinin araçları ise Avustralya, ABD ve Kanada'da istenmeyen kilit açma saldırısına karşı savunmasızdı. Tom's Hardware, tanıtım videosundaki aracın görüntüsüne dayanarak ikinci firmanın Toyota olabileceğini tahmin ediyor, ancak bu doğrulanmış değil.

İki üretici de ForgeRock'ın kimlik doğrulama ve yetkilendirme hizmetlerini kullanıyor. Ancak araştırmacılar Shubham Shah ve Sam Curry'nin bulduğu açıklar, küçük bir istisna dışında hatalı uygulamalardan ve zayıf güvenlik pratiklerinden kaynaklanıyordu.

Kodun içinde yönetici parolaları

Shah önce ikinci üreticinin Android uygulamasını çözümledi ve internetten erişilebilen, giriş ekranlı bir "TEST HARNESS" sayfası buldu. Asıl sorun ise bu sayfadaki JavaScript kodunun, temizlenmesi gerekirken arka uç sisteminin tüm işleyişini içermesiydi. Kodun içine gömülü API anahtarlarıyla müşteri bilgilerine ulaşılabiliyordu. Aynı kodda büyük olasılıkla test ortamı için hazırlanmış yönetici kimlik bilgileri de vardı ve bunlar gerçek sistemde de işe yaradı.

Araştırmacılar daha sonra yapay zekâ yardımıyla korumasız bir adres buldu ve bu adres sayesinde herhangi bir kullanıcının parolasını değiştirebildi. İki aşamalı doğrulama da hatalı yapılandırılmıştı ve Avustralya ortamı kullanıcıların bu adımı tamamen atlamasına izin veriyordu. Böylece araştırmacılar herhangi bir kullanıcının yerine geçebildi. Son adımda "kapı kilidini aç" komutunu içeren bir istek göndermek yetti ve test aracının kapıları açıldı.