Белые хакеры смогли удалённо завести автомобили

ИБ-исследователи смогли получить доступ к учётным записям клиентов двух автобрендов. Им удалось удалённо разблокировать и завести тестовый автомобиль, обнаружив на серверах авторизации этих компаний административную консоль, защищённую лишь стандартным паролем, установленным по умолчанию.

Безопасники Шубхам Шах и Сэм Карри подробно описали свои действия в отчёте, опубликованном 7 ноября. Системы авторизации клиентов обоих брендов (их названия не разглашаются по просьбе самих автопроизводителей) работали на базе OpenIDM — софта для управления идентификационными данными от ForgeRock (ныне часть Ping Identity).

Белые хакеры сообщили об уязвимости представителям компаний и указали на рекомендации ForgeRock по обеспечению безопасности, согласно которым административную консоль необходимо удалить или дополнительно защитить перед вводом системы в эксплуатацию.

Ранее пентестеры обошли межсетевой экран веб-приложений (WAF), защищающий серверы авторизации, и обнаружили, что консоль по-прежнему принимает стандартные учётные данные, указанные в документации. Получив доступ, они запустили собственный код на серверах идентификации и изменили имейл и пароль. Войдя в систему от имени этого пользователя, исследователи смогли разблокировать и запустить тестовый автомобиль в присутствии его владельца. В ходе сессии также стали доступны сведения о местоположении транспортного средства и его телеметрия.

В сопутствующей публикации Шах описал отдельную цепочку атак на одну из австралийских систем автопроизводителя, изученную в июле 2026 года. Она могла начинаться с номерного знака автомобиля. Жёстко закодированные учётные данные администратора, обход WAF и неправильно настроенный этап MFA позволяли захватить аккаунт и удалённо разблокировать его.

В результате взлома были раскрыты, например, имена клиентов, номера телефонов и хэши паролей. По словам авторов отчёта, они тестировали свои приёмы только на автомобилях, которыми непосредственно владели или на использование которых имели разрешение (в Австралии, США и Канаде).

Усам Оздемиров