Pokazali jak zdalnie zhackować wybrane modele samochodów: Hondy, Nissana, Infiniti, Acury

Pełen wątek na Twitterze dostępny jest tutaj:

Możliwość zdalnego otwierania, uruchamiania, lokalizowania czy włączania klaksonu samochodu – posiadając tylko jego numer VIN – nie wygląda to zbyt optymistycznie.

Idąc od początku – badacze przyjrzeli się na początek firmie SiriusXM. Zapewnia ona usługi telemetrii kilku znanym producentom samochodów. Telemetrii – czyli odczytuje pewne dane z samochodów… ale jak się okazało jest też możliwość wykonywania pewnych poleceń na samych samochodach.

Dalej – badacze przyjrzeli się domenie telematics.net – na której po wielu godzinach hackowania zlokalizowali taki endpoint:

Żądanie to zwracało (bez żadnego uwierzytelnienia) – token, który mógł być użyty do pozyskania szczegółowych informacji o samochodzie (oraz jego właścicielu):

Ale uwaga, tokenu można było użyć również do wykonywania pewnych „poleceń” na samochodzie – np. tutaj uruchomienie klaksonu:

Podatność została zgłoszona do Sirius XM oraz załatana.

~Michał Sajdak