A falha de segurança no software dos automóveis Subaru permite que os hackers tenham acesso total aos veículos
À medida que o setor automotivo se torna mais inteligente e conectado, o número de vulnerabilidades de segurança aumenta. Um novo relatório detalha o quanto os carros conectados podem ser vulneráveis.
Um pesquisador de segurança chamado Sam Curry publicou recentemente uma postagem em seu blog detalhando como ele e um colega (Shubham Shah) conseguiram comprometer o sistema de software Starlink usado pelos carros da Subaru. O Starlink alimenta a central de infoentretenimento dos veículos Subaru e permite que os usuários controlem remotamente seus carros registrados, o que pode incluir travar/destravar remotamente o veículo e dar partida nele.
Curry explicou que uma exploração na página de login do funcionário da Subaru para o sistema Starlink permitiu que ele identificasse um endereço de e-mail válido do funcionário, alterasse a senha do funcionário e contornasse qualquer tipo de autenticação de dois fatores para fazer o login.
Uma vez dentro do sistema Starlink, Curry percebeu que poderia localizar qualquer veículo Subaru registrado por meio de um dos seguintes itens: nome do cliente, número de telefone, endereço de e-mail ou número de identificação do veículo (VIN) (observe que os VINs podem ser facilmente encontrados por meio de uma placa de carro). Outras informações disponíveis incluíam dados de cobrança, contatos de emergência e muito mais.
Além de esses dados pessoais serem facilmente obtidos, o histórico de localização do veículo no último ano também estava disponível e, de acordo com Curry, era fácil de baixar e plotar. Esses dados de localização incluíam um registro de data e hora, o odômetro do veículo e as coordenadas do GPS (com precisão de cerca de 15 pés ou 5 metros).
Talvez o mais alarmante seja que Curry conseguiu encontrar o carro de um amigo no banco de dados e adicionar suas credenciais pessoais como usuário autorizado do Starlink a esse veículo. Uma vez adicionado, ele podia controlar o carro remotamente. Isso permitiu que ele travasse e destravasse o carro, desse a partida remotamente e determinasse sua localização. O usuário do Starlink afetado não recebeu nenhuma notificação de que outro usuário havia sido adicionado à conta Starlink do carro.
A Subaru parece ter corrigido a vulnerabilidade, que Curry descobriu em novembro de 2024. Para seu crédito, o fabricante de automóveis emitiu um patch dentro de 24 horas após receber um relatório de Curry. A publicação de Curry serve como um lembrete de que, por mais inteligentes que sejam nossos carros, eles ainda podem ser bastante vulneráveis a ladrões e outros agentes mal-intencionados.
Fonte(s)
