Уязвимость в дилерском портале Kia позволила бы хакерам управлять миллионами автомобилей

Группа исследователей безопасности обнаружила критические уязвимости в дилерском портале Kia, которые могли бы позволить злоумышленникам находить и управлять миллионами автомобилей Kia, выпущенных после 2013 года. Доступ к управлению автомобилями можно было получить всего за 30 секунд, используя номерной знак целевого транспортного средства.

Уязвимости были обнаружены на веб-портале kiaconnect.kdealer.com, через который дилеры Kia получают доступ к информации о машинах и их владельцах. Исследователи зарегистрировали дилерский аккаунт на портале и сгенерировали действительный токен доступа. Это позволило им получить доступ к данным о владельцах автомобилей и полностью управлять автомобилями дистанционно.

Среди возможностей, предоставляемых этим доступом, были: блокировка и разблокировка автомобилей, запуск и остановка двигателя, использование клаксона и отслеживание местоположения автомобиля без ведома владельца. Исследователи также продемонстрировали возможность добавления второго пользователя на целевое транспортное средство, что давало бы возможность злоумышленникам отправлять команды автомобилю.

Исследователь в области безопасности Сэм Карри подтвердил, что хотя эти уязвимости уже устранены, и разработанный инструмент для демонстрации уязвимости так и не был выпущен, обнаруженные проблемы подчеркивают важность защиты систем, связанных с автомобилями.