Суть инцидента: от хардкода до полного контроля
В начале 2026 года исследователи безопасности Шубхам Шах и Сэм Карри провели аудит бэкенд-инфраструктуры двух крупных автопроизводителей. Уязвимости были найдены в API мобильных приложений, использующих сервисы аутентификации ForgeRock. Результатом атаки стала возможность удаленного управления транспортным средством: хакеры могли открывать двери, запускать двигатель, а также получать доступ к геолокации, пробегу, уровню топлива и персональным данным клиентов.
Хотя имена компаний не раскрываются, визуальный анализ видео с демонстрацией взлома указывает на то, что второй производитель может быть Toyota (модель RAV4). Уязвимости затронули автомобили в США, Канаде, Австралии и других регионах. Проблемы были оперативно исправлены, но они выявили системные ошибки в разработке.
Технические детали: как был сложен WAF
Атака началась с декомпиляции Android-приложения одного из автопроизводителей. Исследователи обнаружили эндпоинт «admintool» с тестовой страницей, доступной из интернета. Внутри JavaScript-бандла, который должен был быть очищен от лишнего кода, хакеры нашли:
- Полную функциональность бэкенда, служащую картой для атак.
- Хардкодные API-ключи и учетные данные администратора (вероятно, оставшиеся от staging-среды).
- Сервис «pinService», доступный через Web Application Firewall (WAF).
Используя AI-модель GPT-5.6 Sol Ultra, исследователи провели брутфорс путей и нашли незащищенный эндпоинт для перезаписи паролей. Несмотря на использование хеширования SHA-512, которое не поддалось взлому, хакеры смогли обойти Multi-Factor Authentication (MFA) из-за неправильной конфигурации в австралийском окружении, где проверка была полностью отключена.
Сравнение уязвимостей и методов атаки
| Элемент безопасности | Статус/Проблема | Последствия |
|---|---|---|
| JavaScript-бандл | Содержит хардкодные креды и логику бэкенда | Получение API-ключей и карты системы |
| WAF (Web Application Firewall) | Не блокировал доступ к внутренним сервисам | Обход первичной защиты |
| Хеширование паролей | SHA-512 | Взлом невозможен, но использовался обход через перезапись |
| MFA (Двухфакторная аутентификация) | Отключена в австралийском окружении | Полная имперсонация пользователя |
| API управления авто | Доступен после получения токена | Удаленный unlock и start engine |
Почему это важно
Инцидент демонстрирует критическое пренебрежение базовыми практиками кибербезопасности в автомобильной индустрии. Использование учетных данных от тестовых сред в продакшене, оставление отладочной информации в клиентских приложениях и игнорирование MFA создают прямую угрозу физической безопасности владельцев. Несмотря на то, что уязвимости уже закрыты, этот случай служит предупреждением для всех производителей, использующих сторонние решения аутентификации, таких как ForgeRock.
Источник: Tom's Hardware ↗