Komputeryzacja samochodów pozytywnie wpływa na komfort i bezpieczeństwo podróży, ale wprowadza też nowe problemy, wcześniej nieznane firmom motoryzacyjnym. Nowoczesne systemy i oprogramowanie, podobnie jak w przypadku chociażby laptopów, można złamać. Przykładowo urządzenia GPS da się wykorzystać do zdalnego wyłączenia silnika.
Serwis Motherboard, powołując się na informacje od hakera nazywającego się L&M, donosi o poważnej luce bezpieczeństwa w systemach GPS służących do śledzenia. Warto na wstępie zaznaczyć, że chodzi o oprogramowanie iTrack i ProTrack, a więc rozwiązania kierowane do firm i mające zastosowanie w transporcie oraz pojazdach flotowych. Bez obaw, problem nie dotyczy popularnych nawigacji na smartfony czy systemów fabrycznie montowanych w samochodach.
Haker L&M twierdzi, że włamał się do ponad 7 tysięcy kont iTrack i ponad 20 tysięcy kont użytkowników ProTrack. Oba rozwiązania, jak już wspomniałem, wykorzystywane są w samochodach flotowych. Z ich wykorzystaniem można śledzić pojazd połączony z kontem, a także w wybranych scenariuszach mieć dostęp do określonych funkcji. Haker zaznacza, że był w stanie śledzić samochody w kilku krajach, dokładnie znając ich aktualną pozycję.
Co więcej, L&M w niektórych samochodach mógł zdalnie wyłączyć silnik. Było to jednak możliwe tylko jeśli auto stało lub poruszało się z niewielką prędkością, nieprzekraczającą 12 mil na godzinę (prawie 20 km/h). Mimo tego, stanowi to spore zagrożenie dla bezpieczeństwa.
Jak w ogóle doszło do włamania? L&M wykorzystał inżynierię odwrotną na mobilnych aplikacjach iTrack i ProTrack wydanych na Androida. Pozwoliło mu to ustalić, że klienci otrzymują domyślne hasło „123456”, które – jak się okazuje – często nie jest później zmieniane. Haker musiał więc jeszcze wyciągnąć loginy i zastosować atak z użyciem domyślnego hasła. Pozwoliło to na dostanie się do tysięcy kont, a także na wydobycie dość sporej paczki danych. Wśród informacji znajdowały się nazwiska, numery telefonów, adresy e-mail, a nawet adresy zamieszkania.
Motherboard potwierdził opisywane włamanie. Serwis skontaktował się bowiem z czterema osobami, których dane znajdowały się w próbce udostępnionej przez L&M. Haker informuje, że celem jego działań nie był atak na klientów, ale na firmy. Zaznacza, że producenci systemów zarabiają na swoich rozwiązaniach, ale nie potrafią zapewnić odpowiedniego bezpieczeństwa.
L&M, mimo iż miał możliwość zdalnego wyłączenia silników w wielu pojazdach, nie zrobił tego ze względów bezpieczeństwa. Należy mieć jednak na uwadze, że nie brakuje grup crackerskich, które mogłyby przeprowadzić taki atak. Osoby, które korzystają z powyższych dwóch systemów, powinny jak najszybciej zmienić domyślne hasło.
Polecamy także:
Teslę można zmusić do zjechania na przeciwległy pas. Wystarczą trzy kropki na drodze
źródło: Motherboard
