Специалисты по кибербезопасности обнаружили уязвимости в автомобилях Kia, которые позволяют злоумышленникам удаленно управлять различными функциями транспортного средства, используя только его номерной знак.
Исследователи Нейко Ривера, Сэм Карри, Джастин Райнхарт и Иэн Кэрролл утверждают, что атаки могут быть проведены за 30 секунд на любом автомобиле Kia, независимо от наличия подписки Kia Connect. Уязвимости затрагивают автомобили, выпущенные после 2013 года, и позволяют злоумышленникам получать доступ к конфиденциальной информации владельца, включая имя, номер телефона, адрес электронной почты и физический адрес.
Злоумышленник может добавить себя в качестве второго пользователя автомобиля без ведома владельца. Для этого используется инфраструктура дилерского центра Kia ("kiaconnect.kdealer.com"), которая регистрирует поддельные учетные записи через HTTP-запросы и генерирует токены доступа.
Для получения данных о владельце злоумышленник отправляет четыре HTTP-запроса:
Генерирует токен дилера и извлекает заголовок "token" из ответа.
Получает адрес электронной почты и номер телефона жертвы.
Изменяет предыдущий доступ владельца, используя адрес электронной почты и VIN автомобиля.
Добавляет злоумышленника в автомобиль, указывая адрес электронной почты под их контролем в качестве основного владельца, что позволяет выполнять произвольные команды.
Жертва не получает уведомлений о доступе к автомобилю, и её права доступа не изменяются. Злоумышленник может отслеживать владельца и отправлять команды, такие как разблокировка, запуск или гудок.
После обнаружения уязвимостей в июне 2024 года Kia устранила их к 14 августа того же года. Нет доказательств того, что эти уязвимости использовались в реальных условиях.
Исследователи предупреждают, что у автомобилей всегда будут уязвимости, и производители могут использовать их для доступа к учетным записям владельцев, как это делает Meta с аккаунтами Facebook.