⁣🚘 Case automobilistiche esposte alle vulnerabilità del web

Le applicazioni web e le API delle principali case automobilistiche, dei fornitori di telematica (tecnologia di tracciamento e registrazione dei veicoli) e degli operatori di flotte erano piene di falle di sicurezza, avvertono i ricercatori di sicurezza.

In un rapporto dettagliato, il ricercatore di sicurezza Sam Curry ha esposto le vulnerabilità che vanno dal furto di informazioni all'acquisizione di account, all'esecuzione di codice remoto (RCE) e persino al dirottamento di comandi fisici come l'avvio e l'arresto dei motori delle auto.

I risultati sono un'indicazione allarmante che nella fretta di implementare funzionalità digitali e online, l’industria automobilistica sta facendo un lavoro poco curato per proteggere il proprio ecosistema online.

Infatti i risultati dei ricercatori, dettagliati sul blog di Curry, evidenziano un numero preoccupante di vulnerabilità critiche in diversi sistemi. Ad esempio, un endpoint API mal configurato per la generazione di password monouso per i portali Web di BMW e Rolls Royce ha potenzialmente consentito agli hacker di impossessarsi degli account di qualsiasi dipendente e appaltatore, ottenendo così l'accesso a informazioni sensibili su clienti e veicoli.

Una configurazione errata nel sistema Single Sign-On (SSO) di Mercedes-Benz ha consentito ai ricercatori di accedere a diverse risorse aziendali interne, inclusi repository GitHub privati e strumenti di comunicazione interna.

Gli aggressori potrebbero fingere di essere dipendenti, consentendo loro di accedere a informazioni sensibili, inviare comandi ai veicoli dei clienti, eseguire attacchi RCE e utilizzare l'ingegneria sociale per aumentare i propri privilegi nell'infrastruttura Mercedes-Benz.