Исследователи Шубхам Шах и Сэм Карри обнаружили уязвимости в сервисах двух автопроизводителей, через которые можно было удалённо открывать подключённые к интернету машины и запускать их двигатели. Как сообщает Tom’s Hardware, проблемы выявили в начале 2026 года и с тех пор исправили. Названия компаний исследователи не раскрывают.
В случае первого производителя доступ распространялся на подключённые автомобили в США. Для второго исследователи описали возможность удалённо отпирать машины в Австралии, США и Канаде. Уязвимости также позволяли получать сведения об автомобиле — в том числе его местоположение, пробег и уровень топлива — и персональные данные клиентов.
Проблемы находились в серверных сервисах, с которыми работают мобильные приложения автомобилей. При изучении системы второго производителя Шах обнаружил в доступном из интернета коде API-ключи и учётные данные администратора. Затем исследователи нашли способ сменить пароль пользователя, а в австралийской системе — обойти дополнительную проверку при входе. Получив доступ к учётной записи, они отправили команду на открытие дверей тестового автомобиля. Подробности работы с системами обоих производителей Карри изложил отдельно.
Источник: tomshardware.com.
