Специалисты по кибербезопасности Шубхам Шах и Сэм Карри рассказали, как в начале 2026 года получили возможность дистанционно управлять отдельными функциями подключённых автомобилей двух крупных производителей. Уязвимости затрагивали машины в США, Канаде и Австралии, а в некоторых случаях позволяли не только разблокировать двери, но и запускать двигатель.
Проблема заключалась не в электронике самих автомобилей, а в серверной инфраструктуре мобильных приложений. Исследователи обнаружили общедоступные служебные интерфейсы, программный код с учётными данными администратора и ошибки в системе авторизации ForgeRock.
Используя эти недостатки, специалисты смогли получить доступ к информации о владельцах, включая электронную почту, местоположение автомобиля, пробег, запас хода и состояние дверей. Более того, одна из цепочек уязвимостей позволяла изменять пароли пользователей и обходить многофакторную аутентификацию.
В результате исследователи смогли выдавать себя за владельцев автомобилей и отправлять команды через штатные серверные интерфейсы. Во время демонстрации тестовая машина успешно выполнила команду удалённой разблокировки дверей.
Названия пострадавших автопроизводителей не раскрываются. Предполагается, что одной из компаний могла быть Toyota, однако официального подтверждения этому нет.
Все обнаруженные уязвимости, по словам исследователей, уже устранены. Тем не менее случай показывает, насколько серьёзными могут быть последствия ошибок в облачных сервисах: даже защищённый автомобиль становится уязвимым, если злоумышленник получает контроль над учётной записью его владельца.
Читать TechDigest в Google
