Duas grandes montadoras de veículos corrigiram uma vulnerabilidade crítica nos aplicativos de celular dos clientes. A falha de segurança dava acesso total às contas dos motoristas e permitia comandos remotos nos carros conectados, como destravar as portas e dar partida no motor à distância.
Os especialistas em cibersegurança Sam Cury e Shubham Shah publicaram, nesta sábado (7), os detalhes do ataque em um relatório técnico, em que confirmaram a eficácia do método em testes práticos. A demonstração foi realizada apenas em veículos próprios ou de proprietários que autorizaram a ação nos Estados Unidos e na Austrália.
Ambas as marcas utilizavam a plataforma de identidade ForgeRock, integrada atualmente à Ping Identity, para gerenciar os acessos dos motoristas. Os pesquisadores identificaram que o painel de controle do sistema de dados continuava ativo e acessível na internet. Além dessa falha, a página mantinha a senha padrão de fábrica: a palavra “admin” no usuário e na senha.
O painel era protegido por por um firewall de aplicação web (WAF), um sistema projetado para barrar acessos suspeitos. No entanto, Cury e Shah contornaram o mecanismo ao inserir caracteres codificados e barras na URL do navegador. O truque fez o sistema liberar o acesso por achar que se tratava de um arquivo inofensivo do site, enquanto o servidor interpretava o comando como um atalho direto para a área secreta de administração.
